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ometrie ganz praktisch: das kapazitative Gummibä 
AES: Advanced Encrypting (Supposedly) 
VPN: Dig Your Tunnel! 
Kurzgeschichte: Die Gedanken sind frei... 
Gimmick: Open-Source Mischpult zum Selberlöten! 
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Erfa-Kreise 



Bielefeld 


im Cafe Parlando, Wittekindstraße 42, 
»jeden Dienstag (außer feiertags) ab 18h 


http://bielefeld. ccc. de/ 
<mail@bielefeld.ccc.de> 


Berlin, CCCB e.V. 


Marienstr. 11, Berlin-Mitte, 

Briefpost: CCC Berlin, Postfach 640236, D-10048 Berlin 

» Club Discordia jeden Donnerstag zwischen 17.00 und 23.00 

Uhr in den Clubräumen. 


http://berlin.ccc.de/ 

Fon: +49.30.285.986.00 
Fax: +49.30.285.986.56 


Düsseldorf, CCCD/ 
Chaosdorf e.V. 


"zakk", Fichtenstr. 40 

» jeden 2. Dienstag im Monat ab 19.00 Uhr 


http:// duesseldorf. ccc. de/ 


Frankfurt am Main, 
cccffm 


Club Voltaire, Kleine Hochstraße 5, 
» donnerstags ab 19 Uhr 


http: //www. ffm. ccc.de/ 


Hamburg 

(die Dezentrale) 


Lokstedter Weg 72 

» jeden Dienstag ab ca. 20.00 Uhr in den Clubräumen. Der jeweils 
erste Dienstag im Monat ist Chaos-Orga-Plenum (intern). An allen 
anderen Dienstagen ist jede(r) Interessierte herzlich willkommen. 
Termine aktuell unter http://hamburg.ccc.de/bildungswerk/ 


http:/ /hamburg. ccc.de/ 

Fon~ +49 40 401 801 0 
Fax: +49.40.401.801.41, 
Voice: +49.40.401 .801 .31 . 


Hannover, Leitstellesii 


Kneipe "kleines Museum" in Linden, 

» am Mittwoch der zweiten Woche des Monats ab 20h 


https://hannover.ccc. de/ 


Karlsruhe, Entropia e.V. 


Gewerbehof, Steinstraße 23, » jeden Sonntag ab 1 9:30h 


http:/ /www. entropia. de/ 


Köln, Chaos Computer 
Club Cologne (C4) e.V. 


Vogelsanger Str. 286, 50° 56' 45" N, 6° 57' 02" O (WG584), 
»jeden letzten Donnerstag im Monat um 19:30h 


Fon: +49.221.546.3953 
<oeffentliche- 
anfragen@koeln. ccc. de>, 
http://koeln. ccc. de/ 


München, muCCC 


Blutenbergstr. 17, 

»jeden zweiten und vierten Dienstag im Monat ab 19:30h 


http:// www.muc. ccc. de/ 


Ulm 


Treffen Montags ab 19.30 Uhr entweder im 'Cafe Einstein' an der 
Uni Ulm oder beim Internet Ulm/Neu-Ulm e.v. (am Besten vorher 
per Mail anfragen!). Regelmäßige Vorträge im 'Chaos Seminar': 
http://www.ulm.ccc.de/chaos-seminar/ 


http://ulm.ccc. de/ 
<mail@ulm.ccc.de> 



Chaos-Treffs 

Aus Platzgründen können wir die Details aller Chaos-Treffs hier nicht abdrucken. Es gibt aber in den folgenden Städten 
Chaos-Treffs mit Detailinformationen unier http://www.ccc.de/regional/: Bochum, Bremen, Darmstadt, Erlangen/ 
Nürnberg/Fürth, Freiburg i. Br., Gießen / Marburg, Trier, Kiel, Münster / Osnabrück, Saarbrücken, Stuttgart, Emden 



Friends £ Family 

Zur näheren Chaosfamilie zählen wir (und sich) den/der Beinaheerfakreis Hacksen (http://www.haecksen.org/), den/der 
"Verein zur Förderung des öffentlichen bewegten und unbewegten Datenverkehrs e.V." - FoeBuD (http://www.foebud.de/) 
und die C-Base Berlin (http://www.c-base.org/). 
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EDITORIAL 



Das Phänomen Microsoft 

von tomster <tom@tomster.org> 



Was nützt es, Recht zu haben, wenn Dir niemand zuhört? Nicht nur fanatische Microsoft- 
hasser, sondern auch moderate Kritiker, ganz ohne Schaum vorm Mund, stossen mit 
unschöner Regelmäßigkeit auf taube Ohren oder glasige Augen, wenn sie Windows-Usern 
ihre Bedenken ob Monopolmißbrauch, Security und Datenschutz nahebringen. Was also 
tun? In diesem Artikel geht es weniger darum, bessere Argumente zu liefern, sondern 
vielmehr darum, diese überhaupt anzubringen. 



Denn eins ist klar: an dieser Stelle Munition gegen 
den Einsatz von Microsoftprodukten aufzulisten 
wäre sinnlos. Kaum jemand im Chaosumfeld benutzt 
Windows oder Office. Ein Rundgang auf dem 19C3 
z.B. hat mir subjektiv den Eindruck vermittelt, dass 
Windows dort ungefähr den selben Marktanteil hat, 
wie Linux oder Apple Macintosh "draussen in der 
realen Welt"... 

Aber genau dort sieht es ja bekanntermassen 
viel düsterer- nämlich umgekehrt - aus. Die 
Monopelstellung von Windows in der 95%-Region 
hat zusammen mit einem drastischen Anstieg an PCs 
innerhalb der letzten Jahre dazu geführt, dass für die 
meisten Menschen die Begriffe Betriebssystem und 
Windows synonym sind. Auf einem PC Windows 
und Office vorzufinden ist für den durchschnittlichen 
User genauso selbstverständlich, wie dass Wasser aus 
dem Hahn kommt wenn man ihn aufdreht - und wird 
entsprechend auch genausowenig thematisiert oder 
hinterfragt. 

"You're either part of the problem, part of 
the Solution or part of the scenery." 

Was das für Konsequenzen haben kann möchte ich 
zunächst mit einigen Beispielen aus eigener Erfahrung 
erläutern um anschliessend mögliche Lösungen zu 
diskutieren. 

Da wäre z.b. die hochintelligente Zufallsbekanntschaft, 
die nach einem kurzen Gespräch "weitere Infor- 
mationen" zu ihrem tollen Projekt peremail 
schickt - und selbige mit einer geradezu naiven 
Selbstverständlichkeit als Word-Dokument anhängt. 
Die Idee, dass jemand, der eine email Adresse (und 
somit auch einen Computer) hat, kein Word benutzt 
(oder gar ein Betriebssystem, auf dem Office läuft) 
kommt ihr einfach nicht in den Sinn. 



Oder auch Softwarehersteller, die mit keiner Silbe 
erwähnen, für welche Systeme ihr Produkt erstellt 
wurde, sondern kommentarlos eine .exe Datei zum 
Download anbieten [1] . Oft sogar in einem zip- 
Archiv verpackt, so dass der schlimme Verdacht, sich 
erst nach dem Download bewahrheitet. Als ob es kein 
Betriebssystem ausser Windows gäbe... 

Dann gibt es da noch eine Beamtin aus meinem 
Bekanntenkreis, die aus "ethisch-moralischen" 
Gründen keine Nestle-Produkte kauft oder IKEA- 
Möbel besitzt - aber unreflektiert Windows XP Home 
Edition benutzt und ein Hotmail-Account besitzt. 
Hotmail, der erste (grosse) Free- und Webmail 
Provider, wurde von Microsoft aufgekauft und setzt 
seither die Verwendung von Microsofts umstrittener 
Passporttechnologie voraus. 

Die Liste liesse sich fast beliebig ergänzen. Die Frage 
hier ist aber: Was macht man mit solchen Leuten? 
Wie eingangs erwähnt, verlaufen Gespräche, die 
ausschliesslich die Absicht haben, den Gegenüber 
seinen/ihren Irrtum erkennen zu lassen, in der Regel so 
wie alle Konvertierungsversuche: bestenfalls erfolglos, 
oft genug katastrophal. 

Ohne Thema kein Dialog 

Vielleicht kennt der eine oder andere Leser das auch: 
man bemüht sich redlich, bleibt sachlich, führt Vor- 
und Nachteile an und trotzdem bleibt am Ende ein 
schaler Nachgeschmack. Der Gesprächspartner kommt 
sich irgendwie bevormundet vor und man selbst hat 
das Gefühl, irgendetwas gründlich falsch gemacht zu 
haben. Ich selbst hatte lange keine Ahnung, was es 
sein könnte und hatte immer vermutet, dass meine 
Argumentation wohl zu radikal sei und war deshalb 
immer peinlich darauf bedacht, möglichst ausgewogen 
zu argumentieren. Weniger "Microsoft is evil " , dafür 
mehr Vernunftgründe. Genützt hat es aber nichts. Im 
Gegenteil, wie wir gleich sehen werden... 
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EDITORIAL 



" Ist doch klar! Wer hört schon gerne, dass er 
was falsch macht? Du musst die Botschaft besser 
verpacken, wenn sie heil ans Ziel kommen soll!" Das 
kann aber auch nicht gut gehen, denn letztendlich 
halte ich es ja tatsächlich für falsch, Microsoftprodukte 
einzusetzen und damit eine Firma zu unterstützen 
deren Geschäftspinzipien auf eklatante Art und Weise 
gegen so ziemlich alle meine ethisch-moralischen 
Prinzipien Verstössen! Verdammt nochmal ;-) Da helfen 
auch keine Samthandschuhe... 

Bis ich es neulich dachte, es endlich erkannt zu haben: 
die sind nicht beleidigt sondern gelangweiltl Duh! 
Eigentlich eine ganz einfache Übung: Du versetzt 
Dich in die Lage Deines Gesprächspartners... Was 
dabei herausgekommen ist? Sagen wir mal so: 
Ich vermute stark, dass für die meisten "Normal- 
User" da draussen alles, was mit Betriebssystemen, 
Softwarestandards und Monopolpolitik ungefähr 
genauso spannend und relevant ist, wie die Frage, 
ob Märklin oder Fleischmann die bessere Wahl bei 
Modellbaueisenbahnen ist. "Ist Apple besser als 
Windows? Ist HO besser als Spur N? Lass mich doch 
in Ruhe. Ich frag' Dich doch auch nicht, ob Deine 
Unterhosen von Schiesser oder C&A sind! " 

Dabei ist es überhaupt nicht so, dass Computer und 
Internet an sich kein Thema für den Normaluser 
darstellen. Ein Blick auf die Computer-Ecke beim 
Zeitschriftenhändler genügt, um das festzustellen. Die 
Leute sind regelrecht verrückt danach. "Volkssport 
MP3" . DivX-fähige, digitale Videorecorder bei ALDI. 
URLs und eMail Adressen auf alles und jedem. Inter- 
netcafes an jeder Ecke. Herrgott, es gibt sogar ne 
Computer-BILDÜ 

Das Problem ist also keinesfalls, dass die Leute nicht 
über Computer sprechen wollen. Im Gegenteil. Wenn 
Du Pech hast und Dir das Prädikat "kennt sich mit 
Computern aus" anhaftet, kannst Du Dich in der Regel 
garnicht davor retten, dass Dich Bekannte aller coleur 
unaufgefordert mit Ihren (Windows-) Computer- 
Wehwehchen belästigen. 

Mein Fazit: Der normale User betrachtet Computer 
eben aus einer phänomenalen Perspektive ("Mein 
Computer druckt nicht. " , "Das Internet ist kaputt. ") 
wohingegen Nerds die Sache eher aus einer kausalen 
Perspektive sehen ("Der CUPS-Dienst startet aufgrund 
unzureichender Zugriffsrechte nicht und deshalb 
kannst Du nicht drucken.", "Das Netzteil Deines 
Modems hat einen Wackelkontakt. " ) 

Zwei Welten prallen aufeinander. Aua. 

Eigentlich ist damit ja alles wieder beim Alten: Macht 
stützte sich doch schon immer gerne hauptsächlich 
auf passive Gleichgültigkeit und weniger auf aktive 
Unterstützung seitens der Massen. Und denen ist 
es nun mal offensichtlich scheissegal, wem welche 
Software gehört, hauptsache sie können schön klicken. 



Sollte das alles sein? Ich glaube nicht. Ich glaube viel- 
mehr, dass es - und ich spreche jetzt wirklich nur für 
mich - noch einen weiteren Grund gibt, weshalb die 
obengenannten Gespräche so unerfreulich verlaufen. 
Unterschwelliger Hass. Denn wenn ich ganz, ganz, 
ganz ehrlich bin: wenn es etwas gibt, dass mich mehr 
ankotzt als Microsoft (und die Geisteshaltung derer, die 
dort verantwortlich sind) dann doch wohl die blöden 
User da draussen, die sich den Scheiss gefallen lassen! 

So jetzt ist es raus. Ich fühle mich besser. Immer 
dieses schleimige "Ach, Du hast Probleme mit deinem 
Internet Explorer/Outlook/Windows XP/Office? Das 
tut mir aber leid. Da kann ich Dir aber leider wirklich 
nicht helfen, weil ich mich mit sowas garnicht mehr 
auskenne. Aber hast Du schon mal daran gedacht, es 
mit Mozilla/Linux/MacOS/OpenOffice zu probieren?" 
Das kann auf die Dauer nicht gutgehen, wenn ich in 
Wirklichkeit denke "Du bist doch echt selbst Schuld, 
Alter. Die Gedanken, die Du Dir aus Bequemlichkeit 
bei der Anschaffung deines blöden Windows PCs nicht 
machen wolltest, soll ich mir jetzt machen, um den 
Schlamassel wieder gerade zu biegen? My ass! " 

Microsoft ist unschuldig: Gelegenheit macht 
schliesslich Diebe... 

Ja, das wäre doch mal ein ganz anderer Ansatz. 
Da sich niemand den schweren Jungs in Redmond 
entgegenstellt, kann man ihnen auch keinen Vorwurf 
machen, dass sie das weidlich ausnutzen. Oder? Also 
bleiben ja wohl nur noch die Microsoftuser übrig... 

Ich gehe jetzt jedenfalls direkter in solchen Gesprächen 
vor. Ich sage den Leuten ruhig, aber ehrlich, dass 
ich glaube, dass sie mit der Verwendung von 
Microsoftprodukten mehr als nur eine technische 
Entscheidung getroffen haben. Gut, einigen muss ich 
überhaupt erst erklären, dass (ich glaube, dass) sie 
damit eine Entscheidung getroffen haben. Nämlich für 
eine ganze Plattform und Firmenphilosophie und nicht 
- wie vermeintlich - nur für oder gegen „das Modell 
mit oder ohne DVD-Laufwerk". Und dass ich glaube, 
dass diese Entscheidung schlicht und ergreifend falsch 
ist. Und dann... lasse ich es darauf beruhen... 

Die Folgen sind verblüffend: die Leute wissen woran 
sie bei mir sind und können damit umgehen. Kein 
schaler Nachgeschmack mehr. Aber das beste: der Ball 
ist damit jetzt sozusagen in ihrer Hälfte des Spielfeldes. 
Aus ihren Rechtfertigungen haben sich schon manche 
interessante und fruchtbare Diskussionen entwickelt. 
Weil der Motor dafür jetzt nicht mehr bei mir lag, 
sondern bei ihnen. 

Und meine Meinung über die "dummen Windows- 
User" habe ich mittlerweile auch ändern dürfen: die 
meisten hinterfragen ihre Entscheidung nämlich doch 
bereitwillig und aufrichtig. Ich muss sie nur lassen... 

[1 ] http://www.musicmatch.com/home.htm 
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AUS DER ABTEILUNG "INVESTICATIVER JOURNALISMUS" 



OpenELSTER? 

von Andreas Bogk 



Ich habe mich neulich mal ein bißchen drüber beschwert, daß man in Deutschland zwar 
eine Steuererklärung übers Internet abgeben kann, aber nur mittels einer Windows-DLL. 
Folgende, durchaus zufriedenstellende Antwort habe ich erhalten. 



Hallo Herr Bogk, 

mit dem Projekt "Elektronische STeuerERklärung - ELS- 
TER" verfolgen Bund und Länder das Ziel, die Abgabe 
und Bearbeitung von Steuererklärungen durch den Ein- 
satz moderner Kommunikationsmittel bürgerfreundli- 
cher und weniger verwaltungsaufwendig zu gestalten. 

Zentraler Bestandteil dieses Verfahrens ist die als bun- 
deseinheitliche Software entwickelte ELSTER-Client- 
Software (TeleModul), welche die Entwickler von Steu- 
er-, Finanz- oder Lohnbuchhaltungsprogrammen beim 
Einhalten von Schnittstellenspezifikationen unterstützt 
und Transaktionen mit den Rechnern der Steuerver- 
waltung ermglicht. Sie wird allen interessierten Anwen- 
dungsentwicklern kostenlos zur Verfügung gestellt. 

Da kommerzielle Steuererklärungsprogramme derzeit 
fast ausschließlich für Windowsbetriebssysteme ange- 
boten werden, haben die Referatsleiter Automation 
(Steuer) der obersten Finanzbehörden des Bundes und 
der Länder entschieden, in der ersten Entwicklungs- 
phase zunächst die marktbeherrschenden (Win- 
dows32-)Betriebssysteme zu unterstützen. 

Diese Entscheidung wurde getroffen, um eine größt- 
mögliche Zielgruppe kurzfristig zu erreichen, und 
berücksichtigt damit die Grundsätze der wirtschaftli- 
chen und zielgerichteten Verwendung von Steuermit- 
teln. 

Mit der Erweiterung des Angebots von ELSTER zur 
Datenübermittlung für den Bereich der Unternehmens- 
steuern ist eine Anpassung der ELSTER-Client-Softwa- 
re vorgesehen. Sie trägt dem erklärten Ziel der Bun- 
desregierung, den Einsatz von Open-Source-Software 
zu fördern, Rechnung, in dem die u.a. im betrieblichen 
Bereich üblichen Betriebssysteme (Mac-OS, LINUX, 
UNIX, MVS, BS2000) unterstützen werden sollen. 



Die hierzu erforderliche Neuentwicklung unter Ver- 
wendung der Java-Technologie wird jedoch noch eini- 
ge Zeit in Anspruch nehmen. 

Aktuell kann ich Ihnen hierzu sagen, dass neben der 
Bereitstellung eines Java-API's auch die Möglichkeit 
geboten wird, selbst mit unserem Server zu kommu- 
nizieren. Hierzu wird es demnächst eine Spezifikation 
geben. Im Groben werden dies sein: 

• XML-Datenstrukturen mit XML-Schema 

• http 

• Verschlüsselung nach PKCS#7 

• Signatur nach XML-DSig 

Eine Offenlegung des Quellcodes ist leider nicht mög- 
lich, da einige Komponenten zugekauft sind und - 
anders als bei herkömmlichen Open Source Projekten 

- unser API fast ausschließlich von anderen kommerzi- 
ellen Steuer- oder FIBU-Softwareherstellern implemen- 
tiert und i.d.R. nicht von freischaffenden Entwicklern 
genutzt wird. Die Verwaltung einer OpenSource-Com- 
munity für die wenigen interessierten Steuersoftware- 
Entwickler würde unsere Kapazitäten sprengen. 

Ich denke aber auf Basis der oben angedeuteten Spe- 
zifikationen wird es jedem Entwickler freigestellt, seine 
eigene Clientapplication für ELSTER zu entwickeln. Der 
Aufwand wegen der geforderten Sicherheitskompo- 
nenten darf aber nicht unterschätzt werden, so dass es 
unter Umständen einfacher sein wird unser kostenloses 
Java-API zu benutzen. 

Mit freundlichen Grüßen Roland Krebs 

Oberfinanzdirektion München 

- IT-Bereich - Anwendungsentwicklung 
Projektleiter ELSTER 
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LESERBRIEFE 



Hallo, Ich bin in einen Counter-Strike Clan.. 

und wollte fragen ob sie uns einen Server dazu Sponso- 
ren können. Wir machen dafür auf unserer Homepage 
Werbung für sie und lassen alles im Server zeigen was 
sie für Produkte oder sonstiges haben !! Wenn die 
einen Werbe Banner haben stelleb wir den auch gern 
auf unserer homepage zur Verfügung ! I Ich würde 
mich sehr freuen wenn es klappen würde I ! Meine e- 
mail adresse ist <cedric_lichte@msn.com> II! 

weitergeleitet. Nur falls jemand. . . :) <erdgeist> 

Benötige dringendst einen tip 

von euch bzw. einen rat an wen ich mich wenden 
kann oder was zu tun ist: Hänge mit meinem pc am 
Server im netzt der firma. Wie kann ich wirksam meine 
surfspuren beseitigen? 

1. Sicher surfen, dort wo es angeboten wird, auf den 
Prefix https:// achten, damit kann niemand an den 
zentralen Übergabepunkten deiner Firma den Netz- 
werkverkehr, und damit den Inhalt deiner Surferei, 
mitlesen 

2. Deinen Browsercache löschen, beim IE: 

tools-sinternet options-sTemporary internet files-> delete files 
tools-sinternet options->history->clear history 

bei den anderen Browsern sollte es nicht so schwer zu 
finden sein. 

3. präventiv: genau auswählen, welche Seiten man in 
einem nicht vertrauenswürdigem Netzwerk auf dei- 
nem Betriebssystem (ich weiß nicht, wie sehr du dem 
vertraust) du besuchst 

ist es jemandem möglich nachzuvollziehen, auf wel- 
chen Seiten ich war? 

Ja. Unter anderem dem Seitenbetreiber, dem Admini- 
strator am Gateway oder Proxy, jedes anderen Com- 
puters, der während deiner Surferei direkt an deinem 
Netzwerk angeschlossen war, jedem, der Zugriff auf 
deinen Computer hat und in der Browserhistory nach- 
schaut. Zudem munkelt man von staatlichen Bedarfs- 
trägern, die beim Internet Service Provider deiner 
Firma ein Auge auf die von dir besuchten Seite wer- 
fen, genau, wie auch beim Anbieter derselben oder 
IRGENDWO auf dem Netzwerk-Weg zwischen euch 
beiden, immer mal jemand lauschen kann. 

Was der inhalt meiner e-mails an eine gmx-adres- 
se war? 

Siehe oben. Zudem kann der Empfänger deiner email 
und alle Hände, durch die die email gegangen ist (sein 
ISP, sein Admin, nochmal der Staat, vielleicht noch 
eine Mailweiterleitung, jemand, der im Netzwerk des 
Empfängers den Verkehr beim Abholen der Mail mit- 
gelesen hat...) Auf deinem Rechner wahrscheinlich 
eher nicht. 

was ich dort gelesen habe? 



Das weiß keiner. Dazu hätte man dich beobach- 
ten müssen... aber wo wir doch schonmal so parano- 
id sind: welche Seiten auf deinem Bildschirm waren, 
kann man auch über Abstrahlung deines Monitors 
feststellen. Du mußt dich nur immer fragen, ob der 
Aufwand all dessen durch die Brisanz des Vorgangs 
gerechtfertigt wäre. Wenn du mit Lesen aber Herun- 
tergeladen meinst, dann befindet sich eine Kopie des- 
sen in deinem Browsercache. 

Bitte helft mir.. .BALD <detlef> 

Hmm. Gern geschehn. Wenn du dafür in deinen näch- 
sten emails ein klein wenig auf Satzzeichen, Gross- 
und Kleinschreibung und all die Winzigkeiten achten 
könntest, die einem das Lesen deiner Mail erfreulicher 
machen, dann auch gern immer wieder. <erdgeist> 

guten tag.. .wer auch immer das liest... 

ich hab eine frage die nicht mir dienen soll sondern 
allen anderen denen noch nichts passiert ist... vor kur- 
zem ist mir ein trojaner untergekommen welcher 
sich aktiviert hat und dann halt Verbindung aufge- 
nommen hat... das gegenstück hatte sich dann einen 
moment später in meinem rechner eingehackt wel- 
ches nicht schlimm ist weil ich keine daten auf dem 
rechner habe(extra eine platte fürs internet)nachdem 
ich nicht das machte was er wollte hat er kurz mal 
eben so meine platte zerschossen(die reg gekillt). da 
er nebenbei den fehler machte und mit einer pn 
über den yahoo messanger reinkam der bei mir 
nebenbei läuft hatte ich ein yahoo id von ihm. ..ich 
habe also von einer anderen platte kurz ein neu- 
es System copiert und bin sofort wieder ein ins net 
und hab ihn über den messi angequatscht. ..mit dem 
erfolg das ich nun 3 namen von ihm habe. ..das sein 
freund trojaner programiert...er die hps macht wo 
die raufkommen. ..sie an guten tagen 40 leute wie 
mich haben. ..und eine copie von der zerschossene 
platte. ..die frage lautet nun was kann man gegen sol- 
che leute tun... mfg <xxx@yahoo.de> 

could not decode data stream <erdgeist> 

Ich habe gehört, dass sie die Macht haben 

meinen Computer zu überprüfen von Ihrem Stand- 
ort aus. Mein Neuer Rechner ist zwar erst ein paar 
Wochen alt, aber ich glaube, das er irgend wie spinnt. 
Also wenn das wirklich geht, das Sie meinen Compu- 
ter, wenn er online ist überprüfen können das wär ja 
stark. <xxx-0001@T-Online.de> 

Sehr geehrter Herr xxx. 

Vielen Dank für ihren Auftrag. Wenn sich die Konzen- 
tration der Macht bei uns wieder dem nötigen Level 
annähert, werden wir unsere Seher losschicken, die 
Computronendichte in ihrem Rechner zu erfühlen. 
Dazu müssen sie aber 5 Kerzen im Pentagram um ihn 
herum aufbauen. 
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Aber im Ernst: wir könnten theoretisch Schwächen in 
der Programmierung des Betriebssystems auf deinem 
Computer ausnützen, um Kontrolle über die Funktio- 
nen des Rechners zu erlangen. Sowas machen wir aber 
auch nicht üblicherweise zum Frühstück, hat recht- 
liche Implikationen und liefert uns deutlich weni- 
ger Informationen, als der Händler, der dir den Rech- 
ner verkauft hat, durch Aufschrauben erlangen kann. 
Wende dich bitte an ihn. <erdgeist> 

QSC Teil i: IP-Adresse / Network Address 
Translation (NAT) 

Das Produkt Q-DSLmax beinhaltet die Zuteilung einer 
offiziellen, festen IP-Adresse. Die Verwendung von 
NAT (Network Address Translation) und die damit ver- 
bundene Uebersetzung der Netzwerk-IP-Adressen 
auf die offizielle IP-Adresse ist einerseits ein Securi- 
ty Feature, da die Netzwerk-Adressen nach aussen hin 

nicht mehr sichtbar und damit angreifbar sind Auf 

besonderen Wunsch des Kunden kann alternativ zur 
Verwendung von NAT auf einer festen IP-Adresse auch 
ein ganzer statischer IP-Netzbereich (bis zu 32 Adres- 
sen) gegen gesondertes Entgelt durch QSC AG bereit- 
gestellt werden. 

Gegen mehr Geld, schalten wir das Feature auch aus! 
<Cryx> 

http://www.qsc.de/de/produkte/q-d5lmax/leistung5beschreibung/ 
index.html?qscrelaunch=89ed43f2a3d5b8cae2e0714d7d0663c6 

Liebe Redakteure und Redakteurinnen 

(auch wenn ich gerade keine bei euch sehe :-)), jedes- 
mal, wenn ich die 'Schleuder durchblättere, bekomme 
ich so ein Gefühl, dass es eigentlich schade ist, nicht 
bei eurem Projekt mitzuhelfen. Andererseits kann man 
jedoch nicht an allen Fronten kämpfen, oder? 

Jedenfalls möchte ich euch nur sagen, dass ich das sehr 
wichtig finde, was ihr macht und ich der Meinung bin, 
dass ihr es gut macht und ich hoffe, wenigstens mit mei- 
nem bescheidenen Mitgliedsbeitrag helfen zu können. 

Wer behauptet, nur weil es heutzutage keine Dra- 
chen mehr gebe, könne es auch keine Helden 
mehr geben, der irrt. Denn es gibt viel schlimme- 
re Sachen als Drachen, nämlich Politiker, die sich das 
Marketingprinzip zu eigen gemacht haben, dass die- 
jenigen, die am besten lügen (die beste Werbung 
machen), sich am besten verkaufen (d.i. gewählt wer- 
den); was dabei herauskommt, ist - wen wundert's - 
eine käufliche Politik, die Gesetze verabschiedet, bei 
denen sich vielen von uns - insbesondere denjenigen, 
denen Freiheit etwas bedeutet - der Magen umdreht; 
und alles unter dem Deckmantel der Sicherheit. Zu 
allem Überfluß und um den Fatalismus zu besiegeln 
sind die Politiker damit auch noch erfolgreich, weil das 
bei einem Groflteil der Leute funktioniert (frei nach 
dem Motto: weil die Sachzusammenhänge zu kompli- 
ziert sind, freuen wir uns, wenn wir von den Politikern 



monokausale Erklärungen bekommen, damit wir ruhig 
schlafen können (bloß wie lange? bis zum nächsten 
Attentat?); vgl. Bildzeitung, Explosiv usw.). 

Bevor diese Mail in ein kleines Manifest ausartet und 
ihr den Eindruck bekommt, ich sei ein hoffnungsloser 
Pessimist (was ich m.M.n. nicht bin), möchte ich damit 
schlieflen, dass ich den kleinen Helden von heute, die 
nicht (nur) für das Herz einer Prinzessin oder eines 
Prinzen kämpfen, sondern für die Freiheit von morgen, 
mein grofles Dankeschön ausdrücke und ich hoffe, 
dass ihr noch lange so gut weitermacht! 

Herzliche Grüße <Stephan Schleim> 

TCPA, wie ist da Ihr Standpunkt ? 

Inwieweit beschäftigen Sie sich schon intensiv mit dem 
Problem und welche Lösungen bzw. Gegenstrategien 
sind Ihnen bekannt? <xxx@t-online.de> 

Uns ist das Problem schon seit längerem bekannt. 

So hat sich das Chaosradio Nr. 78 [1 ] mit dem The- 
ma auseinandergesetzt. Einen Mitschnitt der Sendung 
gibt es unter [2]. 

Während unseres jährlichen Congresses in Berlin vor 
ein paar Tagen, gab es einen Vortrag [3], der sich 
damit auseinander setzte. Generell kann gesagt wer- 
den, dass das Thema dort in aller Munde war. <Lars> 

[1] http://chaosradio.ccc.de/cr78.html 

[2 ] ftp: //ftp. ccc. de/ chaosradio/ cr78 

13] http://www.ccc.de/congress/20Q2/fahrplan/event/ 

366.de.html 

Hacker-Kurse??? 

Gibt es die Möglichkeit einen Hacker-Kurs zu belegen 
oder ähnliches??? Oder was würden Sie mir vorschla- 
gen? <xxx@t-online.de> 

Du hast Glück, unser im Buchhandel erhältliche Kurs 
"Hacken in dreißig Tagen" ist ausgelaufen. Wir bie- 
ten jetzt ein neues Präsenz-Seminar "Hacken in drei 
Tagen " an. Das stellt praktisch eine Verzehnfachung 
des Wertes dar, obwohl der Preis mit 40 Euro normal I 
25 Euro Schüler nur geringfügig gestiegen ist. 

Zur Teilnahme an diesem einmaligen Seminar mußt 
Du allerdings einen Test bestehen: Bediene eine Such- 
maschine (z.B. Google) und suche den Geheimcode 
"19c3 ". Schon steht die Tür offen zu vielen interes- 
santen Workshops zum Thema Hacken und zu vielen 
Leuten, mit denen man sich austauschen kann. 

Aber Vorsicht, nur solange Vorrat reicht! ;-) 
<Sebastian> 

Wie kann man das Hobby HACKER 

als Beruf ausüben ??? Eisbär <xxx@lycos.de> 

Indem man Forstwirt wird. <Lars> 
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Server an den Pranger! 

Brauche Hiiiiiiilfe von euch Profies. Hallo CCC, ein paar 
Freunde und ich haben ein ersthaftes Problem, und 
zwar werden wir seit LÄNGERER Zeit von meinem 
ominösen Server mit Fakemails bombardiert. Das sind 
diese Art von Mails wo man von imaginären Freunden 
aufgefordert wird, ihre Hompages zu besuchen, 
und wie nicht änderst zu erwarten landet man auf 
Illegalen/Sex Seiten! Das alles war ja nicht so schlimm, 
wenn nicht jede 3. dieser Mails einen sich automa- 
tisch öffnenden Dealer hätte! Was uns aber am mei- 
sten stört, ist dass diese Mails ständig ihren absender 
ändern und sie zuhauf, manchmal 22mal pro Woche 
bei uns eingehen! Ich selber habe seit einer gewissen 
Zeit meine dienste als Hacker erstmal eingestellt, da 
ich einmal beim ZERHacken eine RechtsradikalenSeite 
erwischt wurde und glücklicherweise nochmal dank 
fehlender Beweise mit dem Schrecken davon gekom- 
men bin! Aber ihr habt das Wissen und die Mittel sol- 
chen Servern den gar auszumachen! Und ich bitte 
euch im Namen tausender geplagter User, dieses Ding 
zu KILLEN! MfG. :<xxx@compuserve.de> 

22 Mal pro Woche? Das ist verdammt wenig. Ich 
beneide euch. <Lars> 

Abschlußprüfung 

hi leute heute habe ich aus zuverlässiger quel- 
le erfahren das heute nacht die Abschlußprüfung 
Mechatroniker die in 4 tage oder so statt findet geklaut 
worden ist könnt ihr mir irgend wie helfen an die prü- 
fung ran zu kommen ?????? bitte <xxx@uboot.com> 

http: //www. duden. de/index2. html?produkte/ 
nachschlagewerke/komma _punkt.html ... und nein. <ths> 

Und später tötet das, was Du als Mechatroniker instal- 
lierst, meine Tochter? Nö, danke. <//padeluun> 

frage zur rechtlichen läge... 

hi ccc. eine frage hab ich da - wo kann ich artikel bzw. 
gesetze zur rechtlichen läge beim hacken von wave- 
lans finden? habt ihr da ein paar nette links für mich? 
danke, andy *ps: blinkenlight rules ;)* <as@xxx.net> 

Maximillian Dornseif, Kay H. Schumann, Christian 
Klein: Tatsächliche und rechtliche Risiken drahtloser 
Computernetzwerke DuD 4/2002 </Julius> 

http://www.datenschutz-und-datensicherheit.de/jhrg26/ 
heft0204.htm#Schwerpunkt 

hi ich bin alex 

und möchte wissen wie ich eine richtig gute 
Homepage mache, ich hab es bei aol schon probiert 
aber so richtig gefunzt hat es nicht <xxx@aol.com> 

Hallo, ich bin Volker und ich möchte Dir empfehlen, 
daß Du Dir mal SelfHTML reinziehst. <Volker> 



Sehr geehrte Damen und Herren, 
liebe Chaoten 

Ich habe mir kürzlich zum Aufzeichnen von Lesungen, 
Rezitationen und Diskussionen einen Sony MiniDisc 
Recorder Net MD N707 gekauft. An der Überspielung 
von Musikstücken bin ich weniger interessiert (höchs- 
tens als Hintergrundsuntermalung aus meinem eige- 
nen CD-Bestand). Der Verkäufer im Promarkt Eschborn 
wußte von dem Grund des Kaufs. Mit dem Gerät kauf- 
te ich auch ein Stereomikrophon. Er empfahl mir dieses 
Gerät wegen der USB-Verbindung und dem qualitativ 
besseren und schnelleren digitalen Datentransfer. Erst 
zuhause und nach mühsamem Suchen im Handbuch 
fand ich heraus, daß der Datentransfer beschränkt ist 
entweder für Daten vom PC auf die MD - oder für 
Stücke von der MD auf den PC, sofern sie vorher vom 
PC heruntergeladen wurden. Daten, die durch Auf- 
zeichnung direkt auf der MD erzeugt werden, können 
nicht auf den PC überspielt werden. Die mitgeliefer- 
te Software Jukebox 2.2 verweigert dann den Trans- 
fer. Als Grund wird Schutz des Copyrights angegeben. 
Denn sonst könnte man die wiederbespielbaren MD's 
sehr leicht von Gerät zu Gerät austauschen, auf einen 
PC spielen und davon CDs brennen. Nur: auf diese 
Weise bleibt das Copyright an meinen eigenen Sprach- 
aufzeichnungen auf der Strecke. Meine Frage und Bitte 
an Sie: Gibt es eine Software, die die Sperre von Juke- 
box 2.2 aufheben oder umgehen kann? Ich habe mich 
nicht nur über den Verkäufer geärgert - noch mehr 
über Sony, die mit irreführender Werbung die Kun- 
den an der Nase herumführen. Ich habe später im WEB 
ähnlich frustrierte Statements von enttäuschten Käu- 
fern gelesen, die selbst etwas produzieren möchten 
- aber ihr Produkt nicht auf den PC übertragen kön- 
nen. Höchstens analog (mit Qualitätsverlust und lan- 
ger Laufzeit). Für jede Hilfe, jeden Tip bin ich dankbar. 
Vor allem in diesem Fall für jeden Hacker, der mir mein 
eigenes Recht verschafft. Es wäre endlich etwas nützli- 
cheres als dumme Mailviren! Mit freundlichen Grüßen, 
Regina Berlinghof 

vielen dank fuer dein plastisches beispiel dafuer, wie 
die 'Industrie ihre eigenen interessen ueber die der 
konsumenten/buerger stellt. 

konkrete hilfe kann ich dir jetzt nicht aus dem sprich- 
woertlichen aermel schuetteln, aber wir werden dei- 
ne anfrage auf jeden fall in der kommenden ausgä- 
be abdrucken, vielleicht kann dir ja einer unserer leser 
weiterhelfen. <tomster> 

Sicherheit Zonealarm Pro 3.ixxxx 

Meine Frage: ist Zonealarm "geknackt" worden und 
somit unwirksam? Habt Ihr da Infos für mich??? 
<xxx@gmx.de> 

Zonealarm ist ein Programm wie jedes andere auch. 
Wer es deaktiveren will kann das auch. Wenn du mal 
einen schoenen Verriss lesen willst: 
http://www.fefe.de/pffaq/ (und die Links da). <Jürgen> 
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Brauche HILFE ! 

Hört sich viel, blöd an was ich hier schreibe aber ich 
finde es gar nicht blöd ! ICH GLAUBE MEINE FRAU 
GEHT FREMD I Sie hat das Passwort für unsere 
gemeinsame E-Mail Adresse ohne mein Wissen ändern 
lassen I Gibt es irgend ein Programm um E-Mail Pass- 
wörter zu knacken oder kann mir jemand einen Tipp 
geben was ich tuen soll ? 

Klar: Red mit deiner Frau. Da war doch so ein Treu- 
eschwur, wegen Heirat und so. Nicht wahr? Naja, 
und wenn du deiner Frau jetzt nichtmal mehr so weit 
vertraust, dass du sie fragen koenntes warum (oder 
ersteinmal OB ueberhaupt) sie es getan hat (koenn- 
te ja auch ein Fehler bei deinem Mail- anbieter sein), 
scheint da bei euch noch viel anderes im Argen zu lie- 
gen, als nur ein bloeder email-account. <erdgeist> 

Ich will wieder mit dem Hacken anfangen 
(private gründe)... 

...habe es aber > seit 2 Jahren nicht mehr gemacht. 
Könntet ihr mir die wichtigsten > Sicherheiteslücken 
und Änderungen per E-Mail mitteilen? 

Heee, Christoph (oder soll ich sagen theface?)! 

schoen, dass du dich mal wieder meldest, wir haben 
ja schon wirklich lange nichts mehr von dir gehoert. 
Und so ein wenig Sorgen haben wir uns auch um dich 
gemacht. 

Naja, aber jetzt, wo du wieder da bist: wir haben in 
den letzten 2 Jahren ziemlich viele gute Maenner ver- 
loren. Die Boesen haben quasi gewonnen. Man, wo 
warst du nur? Wir mussten in den Untergrund, alles 
was es heutzutage "da draussen" noch als Meldungen 
ueber Sicherheits- luecken gibt, ist von DENFN, damit 
keiner merkt, was sie uns angetan haben. Und du? 
Ziehst dich einfach aus privaten Gruenden zurueckl? 

Vergiss es einfach. Geh besser gaerteln oder Baeume 
umarmen. Ist nich so gefaehrlich. Ich muss jetzt auf- 
hoeren, der Waerter macht seine Runde. <erdgeist> 

Null-T-arif 

Viele Leute meckern immer darueber, dass die Telefon- 
tarife steigen wuerden. Diese Panik kann ich gar nicht 
nachvollziehen. Es mag wohl nur daran liegen, dass die 
meisten Nutzer ortsfester sowie mobiler Fernsprecher 
die Auswahl der Tarife sowie die Kombination derselbi- 
gen vernachlaessigen. 

Daher an dieser Stelle ein wenig Werbung fuer gute 
Produkte der Fernmeldebranche welche gerade durch 
Kombination einen symbiotischen Effekt haben, der 
es nicht nur knausrigen Nerds warm ums Herz wer- 
den laesst. 

Produkt 1: Genion, das Clevere Festnetz-Placebo von 
0 2 . Man erhaelt eine Festnetznummer, auf der man 



in einer sogenannten Homezone zum Festnetzta- 
rif erreichbar ist. Bei Genion kann man sogar beding- 
te Rufumleitungen schalten (z.B. nach 5 Sekunden) 
die, solange man sich in der Homezone befindet und 
die Umleitung innerhalb des 0 2 Netzes laeuft, kosten- 
los sind. 

Produkt 2: LOOP - Die Prepaidkarte von 0 2 . Die- 
se Karte hat das tolle Feature (sprich: Fiehtschae') dass 
man pro vollendeter ankommender Gespraechsminu- 
te ganze 2 cent gutgeschrieben bekommt. Dies gilt 
natuerlich auch fuer Gespraeche, die auf die loop-Kar- 
te umgeleitet werden. 

Produkt 3: T-ISDN XXL - Mit diesem innovativen Pro- 
dukt aus dem Hause des rosa - aeh pardon, magen- 
tafarbenen „T" erhaelt man die Moeglichkeit Sonn- 
und Feiertags kostenlos beliebige Festnetznummern zu 
erreichen, sogar die des Konkurenten Oj. 

Ruf doch mal an! <nibbler> 

Subject: Höfliche Anfrage! 

Sehr geehrte Damen und Herren! 

Betrachten Sie diese email als höfliche Anfrage zu einer 
geschäftlichen Zusammenarbeit. Sie sind über die uns 
angeschlossene Suchmaschine Google bei uns gelistet. 
e-business <toppromo@freenet.de> 

Hallo Hacker! Seit einem Jahr 

gelingt es niemanden den Code zu knacken, mit dem 
der im Anhang stehende Text generiert wurde. Ich 
würde mich freuen, wenn sich jemand in einer frei- 
en Minute diesem Problem annehmen könnte - vie- 
len Dank! 

[.... snip Dezimalgruetz... ] <Andreas S> 

Hallo Andreas, fein, was du geleistet hast. Echt pri- 
ma. Du bist mein Held, ich kriegs nicht raus. Magst 
du vielleicht im Gegenzug das hier entschlüsseln: o 
gfqco34o81urgfq3uO=)Z%POZEW5zuvaTAoqoih 
dslifueuo(ti/&%=)(/o(&$LDSJF<YDSVFioiure. Dan- 
ke <erdgeist> 

QSC Teil 2: 

Auf http://www.qsc.de/de/pr0dukte/q-d5lmax/fragen_und_ 
antworten/?qscrelaunch=89ed43f2a3d5b8cae2e0714d7d0663 
c6#2 unter "Wie wird der Datentransfer abgerechnet?" 
findet sich dieser grossartige abschnitt: 

"Fuer die Feststellung des Datentransfervolumens wird 
folgende Definition zugrunde gelegt. Ein GB (Giga- 
byte) entspricht eintausend MB (Megabyte), ein MB 
eintausend kB (Kilobyte) und ein kB eintausend Byte." 

Schoen nicht? "Solange dein traffic durch meinen rou- 
ter geht, definiere immernoch ich wieviel ein byte 
ist! " <Cryx> 
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Fear, Uncertainty, Consumption, 
Knowledge... Und Palladium 

von Erdgeist <erdgeist@erdgeist.org> 



Wir haben vor allem Möglichen Angst. Ist ja auch nur zu natürlich. Bei allem, was man 
immer so liest und hört. Es ist eine schreckliche Welt da draußen und das Einzige, was 
uns noch retten kann, ist: viel Geld auszugeben. 



Was es genau ist, das uns Angst machen muß? Das ist 
von Fall zu Fall natürlich unterschiedlich. Aber generell 
sind es zwei Dinge, die sie verursachen: Unwissenheit 
und Unsicherheit. Und es gibt genug Leute, die von 
deiner Angst leben: Politiker, Polizisten, Anwälte, Versi- 
cherungsverteter, Potenzpillenhersteller, die Presse, die 
Rüstungsindustrie, sogar Greenpeace. Also gibt es auch 
ein vitales Interesse, dir deine schöne Angst nicht weg- 
zunehmen. Man sehe sich nur die RTL-Abendnach- 
richten an und spiele ein kleines Spiel: versucht ein- 
mal, jeden Beitrag in eine der beiden Kategorien Angst 
oder Konsum einzuordnen. Und dann sagt, wo es die 
idyllischeren Bilder zu sehen gibt. Und wieviel Hinter- 
grundinformationen vermittelt wurden. Dann schaue 
man sich die darauffolgende Soap an und sage, welche 
Gestalten gemeinhin als Sympathieträger oder Identi- 
fikationsfiguren propagiert werden. Wissen und Intel- 
ligenz ist nicht schick, Erfolg nicht mehr Ergebnis von 
Fleiß. Daß gerade bei der Bildung gespart wird, wenn 
es nicht um die Elite geht, mag Zufall sein. Der Trend 
jedoch ist erkennbar: weg vom mündigen Bildungsbür- 
ger, hin zum modernen Konsumbürger mit all seinen 
pflegebedürftigen ngsten. 

Was uns das als Hacker interessieren muß, die wir doch 
größtenteils reflektierte, nicht vom Konsum verblen- 
dete Heroen sind? Wir sind das prototypische Feind- 
bild des Konsums. Wir schließen uns meist nicht der 
Finanzelite an und versuchen nicht einmal, eine bere- 
chenbare Gegenelite zu bilden. Unser erklärtes Ziel ist 
es, Herrschaftswissen zu nehmen und dem Beherrsch- 
ten zugänglich zu machen, zudem sein privates Wis- 
sen vor der zentralen Erfassung zu schützen. Höchste 
Zeit, dem Hacker ein bedrohliches Image zu verpas- 
sen und am besten noch mit dieser neuen Angst Geld 



zu verdienen. Hier eine proprietäre Virenscan-Softwa- 
re, dort eine Closed-Source Firewall, und natürlich im 
Fernsehen neben den Bösen, die Bomben auf Unschul- 
dige werfen, der Hacker, der sich deine Festplatte zum 
Ziel genommen hat, so zwischen Überschwemmung, 
Lebensmittelvergiftungen und der Werbung. Da, wo 
die Komplexität des Systems das Verständnis sprengt 
und darüber hinaus magische, fast religiöse Gren- 
zen ankratzt, findet auch leicht die Überhöhung des 
Hackers ins Diabolische statt. 

Aber auch wenn man die Angst durch Bildung 
bekämpft, bleibt sie nominal oft gleich: Denn hier führt 
Beseitigung der Unwissenheit zu einer Zunahme der 
eigenen Unsicherheit - die zweite Quelle der Angst. 
Wem zum Beispiel vertrauen wir denn in letzter Zeit 
unser Weltwissen an? Wir vertrauen darauf, daß in 
einem Prozessor, dessen Leiterbahnen wir mit bloßem 
Augen nicht mehr erkennen können, sich Elektronen 
in gerade der richtigen Anzahl an den richtigen Stel- 
len zusammensammeln, um bestimmte Schwellenwer- 
te zu unter- oder überschreiten. Im Optimalfall kommt 
dabei die gewünschte Transformation der Daten her- 
aus. Die Ergebnisse werden in Abermilliarden schnell 
flüchtiger Rückkopplungsgattern (üblicherweise Spei- 
cher genannt) abgelegt. Was aufhebenswert erscheint, 
wird als mikroskopisch kleine Magnetisierungsinsel auf 
schnell rotierende Metallscheiben gebannt, ständig auf 
der Furcht vor externen Magnetfeldern. Und wenn 
wir ernsthaft an das Konservieren für später denken, 
benutzen wir extrem lichtempfindliche Billigstkunst- 
stoffscheiben, in die wir mit starken Lampen Löcher 
brennen, diese mit weniger starken Lampen wie- 
der abtasten, nur um die Daten kurz darauf dem sel- 
ben Zyklus zu unterwerfen. (Wie lichtempfindlich die 
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Scheiben sind, kann man im Experiment mit einer über 
den Sommer ins Fenster gehangenen CD selbst nach- 
vollziehen.) Alles in allem wohl ein unglaublich fragi- 
ler Ablauf, der nur mit Redundanz und dem kontinu- 
ierlichen Kopieren und Vergleichen der Daten mit den 
Zweit- und Drittkopien in stabilen Bahnen zu halten ist. 
(Versucht doch mal, eine Diskette von vor mehr als 7 
Jahren zu lesen. Solltet ihr durch Zufall noch die pas- 
senden Laufwerke haben, ist die Wahrscheinlichkeit 
der Datenintegrität wohl eher gering). 

Das bewährte Konzept der menschenlesbaren Papier- 
kopie wird mehr und mehr zurückgedrängt, zumindest 
für die breite Masse, sie läßt sich zu schwer regulieren. 
Wissen ist (neben dem politischen) auch ein wirtschaft- 
licher Vorteil, Information Wirtschaftsgut. Öffentli- 
che Bibliotheken sind finanziell so schlecht ausgestat- 
tet, wie schon lange nicht mehr, Tendenz fallend. Aber 
auch im Elektronischen, wo die Regulierung des Kopie- 
rens mittels Kontrolle über das Kopiergerät demnächst 
leichter fallen soll, sind die Bewegungen in Richtung 
Informationsverknappung und Mehrfachverkauf deut- 
lich zu erkennen. Dabei geht es mir nicht primär um 
mp3s und Hollywoodschinken. Bald wird gar das pri- 
vate Pressearchiv urheberrechtlich bedenklich. An zen- 
traler Stelle bleibt die Information natürlich für Geld 
weiter verfügbar. Ob aber morgen in der selben Zei- 
tung noch dasselbe steht, wie heute, ist fraglich. Dabei 
muß man nicht gleich mit Orwell argumentieren, eine 
einstweilige Verfügung bei genügendem politischen/ 
wirtschaftlichen/staatssicherheitstechnischen Interesse 
ist durchaus im Rahmen des aktuell Wahrscheinlichen. 

Selbst Suchmaschinen, respektive deren Caches, haben 
sich zuletzt nicht als zuverlässig-objektive Archive 
gegen den Willen der, von den Informationen Tan- 
gierten, erwiesen. Eine dezentrale Informations-Vor- 
ratshaltung und -aufbereitung kostet aber Geld. (Man 
schaue sich nur die Unordnung in der privaten mp3- 
Sammlung an. Dann stelle man sich vor, wie die aus- 
sähe, wenn irgendeine bezahlte Kraft den ganzen Tag 
nichts anderes zu tun hätte, als diese zu pflegen und 
zu erweitern.) Doch wo strukturiertes - und damit erst 
zugängliches - Wissen viel Geld kostet, muß sich die 
Akquisition/Aufbereitung auch finanziell lohnen. Sonst 
bleibt es Luxus, den man sich erst einmal leisten kön- 
nen muß. Aber aufgepaßt: Viel zu schnell droht einem 
dabei selber der Abrutsch in die Klauen der Finanzeli- 
ten, die einen in ihre Unterabteilung Wissenselite ein- 
sortieren. Beispiel OpenSource-Projekte: sogar hier 
findet man das gesamte Muster Fear, Uncertainty, 
Consumption wieder. Was bleibt, wenn man etwa für 
eine Textverarbeitung auf proprietäre Datenformate 



angewiesen ist, reverse engineering verboten ist? Legal 
nur noch der Zukauf der Information, was bei einem 
kostenlosen OpenSource-Programm schlicht nicht 
finanzierbar ist. Und selbst wenn, bleibt beim potenti- 
ellen Benutzer der (auch vom Hersteller der kommer- 
ziellen Software gern gepflegte) Rest Unsicherheit, die 
Angst, die dann nur noch durch Konsum - Kauf der 
SW - besiegbar scheint. 

Zum Glück wird aber ab demnächst die Entscheidung, 
welche Software auf welchem Rechner laufen, welche 
Informationen man sich anschauen darf (und damit: 
welche aufhebenswert ist), die Wahl, welche zusätzli- 
che Hardware man an seinen Computer anschliessen, 
oder mit wem man kommunizieren will, von Firmen 
abgenommen, die sich damit ja nun wirklich ausken- 
nen müssen. Unter Zuhilfenahme eines Chips (oder gar 
der CPU) in jedem Computer wird der bestmögliche 
Schutz der Information vor dem Anwender gewähr- 
leistet. Das Kartell, das diesen Kraftakt stemmen will, 
heißt TCPA. Viele kluge Menschen haben viele kluge 
Worte dazu zusammengesammelt [1 ] (oder deutsch) 
[2] , deshalb will ich hier nicht mit meiner laienhaften 
Interpretation der technischen Abläufe dahinter lang- 
weilen. 

Die Implikationen sollte man sich aber, den oberen Teil 
des Textes als Maßstab genommen, vor Augen halten. 
Erstmals seit Gutenberg wird der Weg, Informations- 
vervielfältigungstechniken immer mehr zu verbessern, 
radikal verlassen. Die weltweite Zensur eines Fakts 
bedarf nichts weiter als der Eingabe einer Nummer in 
eine Datenbank (die wohl irgendwo auf einem Server 
in einem kulturellen Entwicklungsland zwischen Kana- 
da und Mexiko liegt). Die redundante Vorhaltung von 
Informationen wird unglaublich teuer, wo nicht sowie- 
so technisch unmöglich, die Gefahr von Kollateralschä- 
den ist immens. Kein Geheimdienst, der etwas auf sich 
hält, dürfte noch Computer benutzen, die Monopol- 
Klage gegen Microsoft Hesse sich wahrscheinlich nicht 
wiederholen, da wichtige Beweisdokumente nicht les- 
bar wären. Es wird wohl Zeit, alle auf seinem Copu- 
ter befindlichen Dokumente auszudrucken, (möglichst 
nicht auf "elektronischem Papier"), alle Tageszeitun- 
gen zu abonnieren und zu bevorraten. Zudem sollte 
man sich mit der Funktion einer Schreibmaschine aus- 
einandersetzen. Auf jeden Fall aber: viel Geld ausge- 
ben. 

[1 ] http://www.cl.cam.ac.uk/~ria14/tcpa-faq.html 

[2] http://moon.hipjoint.de/tcpa-palladium-faq-de.html 
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AES und Attack 

von Rüdiger Weis (cryptolabs Amsterdam) und Stefan Lucks (Universität Mannheim) 



Cross war seit Oktober 2000 die Freude endlich über ein standardisiertes und sichereres 
Verschlüsselungsverfahren zu verfügen. Der neue Chipher Rijndael ist schnell und 
elegant - vielleicht etwa zu schnell und sehr wahrscheinlicher Weise viel zu elegant. 
Neue Angriffsmethoden lassen jedenfalls, obgleich noch entfernt von einer praktischen 
Durchführbarkeit, bei vielen Kryptographen recht ungute Cefühle entstehen. 



Der AES (Advanced Encryption Standard) ist der 
Nachfolger des inzwischen wegen der zu geringen 
Schlüsslelänge völlig unsicheren DES (Data Encrypti- 
on Standard). Die Wahl des AES ist das Ergebnis eines 
mehrjährigen, mit großer Sorgfalt vom US-amerikani- 
schen NIST (National Institute of Standards and Tech- 
nology) betriebenen Prozesses [WL99]. 

Zentrale Anforderungen waren dabei: 

• 128-bit breite Blockchiffre. 

• Drei verschieden Schlüssellängen 128 bit, 192 bit 
und 256 bit. 

• AES soll mindestens so schnell und sicher sein wie 
Triple-DES, 

• Im Gegensatz zum DES-Verfahren wurden diesmal 
die Design-Grundsätze veröffentlicht. 

• Die Entwickler mussten plausibel machen, dass 
ihre Algorithmen nicht mit geheimen Hintertüren 
versehen sind. 

Auf der ersten AES-Konferenz 1998 wurden 15 
Kandidaten präsentiert. Die Submission der 
Deutschen Telekom mit dem schönen Namen 
Magenta wurde übrigens schon während des 
Vorstellungsvortages gebrochen. 

Nach der zweiten Konferenz wurden vom NIST fünf 
Finalisten ausgewählt. 

• Mars 

• RC6 

• Rijndael 

• Serpent 

• Twofish 

Von diesen Kandidaten wurden Mars, Serpent 
und Twofish von der NSA hohe Sicherheit 
bescheinigt und Rijndael und RC6 nur 
angemessene. Gegen Mars und RC6 gab es von 
verschiedener Seite Bedenken wegen möglicher 
Patentbegehrlichkeiten. 



Nach der dritten AES-Konferenz im Jahr 2000 mit einer 
eingehende Diskussion der fünf Finalisten entschied 
sich das NIST für "Rijndael" als vorläufiger Standard, 
der Ende November 2001 als endgültiger Standard 
bestätigt wurde. 

Rijndael 

Rijndael wurde von den beiden Belgiern Joan Daemen 
und Vincent Rijmen entwickelt. Rijndael ist eine Wei- 
terentwicklung des SQUARE Algorithmus, der eben- 
falls von den beiden Autoren zusammen mit Lars Knu- 
den entworfen [DKR97]. Rijndael verwendet eine 
umkehrbare 8x8 bit S-Box und nutzt Berechnungen 
mit Polynomen über den Körper GF[28], um gute Dif- 
fusionseigenschaften sicherzustellen. Die Berechnun- 
gen erinnern an fehler- erkennende bzw. -korrigieren- 
de Codes (MDS-Codes). Rijndael ist im Gegensatz zu 
DES kein Feistel-Netzwerk. 

Rijndael überzeugte nicht nur durch Effizienz, sondern 
auch durch seine mathematisch elegante und einfache 
Struktur. Manche Kryptographen warnten allerdings 
auch davor, daß gerade diese einfache Struktur ein Ein- 
fallstor für Angreifer sein könnte. Und es gab noch 
weitere kritische Stimmen. 

Geringe Sicherheitsmargen 

Vielen Kryptographen erschien insbesondere die 
Rijndael-Variante für 128-bit Schlüssel mit nur 10 Run- 
den und recht einfacher Rundenfunktion als "recht 
nahe am Limit" . So verwendet der Konkurrent Serpent 
32 Runden. 

Einfache S-Boxen 

Als weiterer Kritikpunkt galt die einfache algebrai- 
sche Beschreibung der S-Boxen, die ihrerseits die ein- 
zige nichtlineare Komponente der Chiffre sind. Dieser 
Punkt ist im Zusammenhang mit den aktuellen Ergeb- 
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nissen besonders wichtig. Die S-Boxen sind sogenann- 
te "Knudsen-Nyberg" S-Boxen, die optimalen Schutz 
gegen differentielle und lineare Kryptanalyse bieten. 
Diese beiden Techniken waren in der Vergangenheit 
die wichtigsten und erfolgreichsten Methoden für die 
Kryptoanalyse von Blockchiffren. 

Einfacher Key Schedule 

Rijndael verwendet einen sehr einfachen Key Schedule. 
Kryptographisch unschön ist insbesondere die Eigen- 
schaft, dass sich aus Kenntnis irgend eines Runden- 
schlüssels trivial 128 bit des Verfahrensschlüssel gewin- 
nen lassen. Auch konnte die einfache mathematische 
Darstellung der Rundenschlüssel bei den unten dis- 
kutierten Angriffen verwendet werden. Lucks [LuOO] 
nutzte eine weitere Schwäche für einen erfolgreichen 
Angriff gegen Rijndael mit reduzierter Rundenzahl. 

Mathematische Struktur 

2001 gelang es Ferguson, Schroeppel Whiting 
[FSW01], die gesamte Chiffre als überraschend einfa- 
che geschlossene mathematische Formel darzustellen 
- in Form einer Art Kettenbruch. Entscheidend dabei 
war die oben erwähnte einfache algebraische Darstell- 
barkeit der S-Boxen. Füller und AAillian [FM02] sowie 
Murphy und Robshaw [MR02] veröffentlichten 2002 
weitere interessante Ergebnisse. 

Das wohl spektakulärste der neuen Resultate ist jedoch 
der "eXtended Sparse Linearization" (XSL-Angriff 
von Courtois und Pieprzyk [CP02], der im folgenden 
Abschnitt ausführlicher dargestellt wird. 

Der XSL-Angriff 

Für den Kryptographien zählt jedes Verfahren, das eine 
Chiffre schneller als mit erschöpfender Schlüsselsuche 
bricht, als "Angriff", unabhängig von der Praktikabi- 
lität. Denn auch ein unpraktikabler "Angriff" gilt als 
Nachweis, dass die Chiffre ihr angestrebtes Sicherheits- 
ziel verfehlt hat. Im Fall der AES-Variante mit maxima- 
ler Schlüssellänge (256 bit) braucht die erschöpfende 
Schlüsselsuche im Durchschnitt 2255Verschlüsselungs- 
operationen. Dies ist der Wert, den es mit einem kryp- 
toanalytischen Angriff zu unterbieten gilt. 

Der XSL-Angriff liegt nach Angabe der Autoren im 
Bereich von 22000perationen und ist damit defini- 
tiv nicht praktikabel. XSL ist eine Weiterentwicklung 
von XL ("eXtended Linearization"), einer heuristischen 
Technik, mit der es manchmal gelingt ist, große nicht- 
lineare Gleichungssysteme effizient zu lösen. XL wurde 
ursprünglich zur Analyse von Public-Key Kryptosyste- 
men entwickelt. Der Einsatz im Kontext der Secret-Key 
Kryptographie ist eine Innovation von Courtois und 
Pieprzyk. 

Grob kann die Technik und ihre Anwendung auf Sec- 
ret-Key Kryptosysteme wie folgt beschrieben werden: 



Beschreibe die Chiffre als überspezifiziertes 
System quadratischer Gleichungen in GF(2). 
Mit "überspezifiziert" ist gemeint, dass es mehr 
Gleichungen als Variablen gibt. Eine derartige 
Gleichung kann z.B. so aussehen: 

X 1 + X 2 X 3 + X 2 X 4 = 1 ' m ° d 2 ^ 

Diese Gleichung besteht aus einem konstanten 
Term (" 1 "), einem linearen Term (der Variablen 
"x1 ") und zwei quadratischen Termen ("x 2 x 3 " 
und "x 2 x 4 "). 

Erzeuge durch An-Multiplizieren zusätzliche 
Gleichungen, um ein noch mehr überspezifiziertes 
System zu erhalten. Aus der obigen Gleichung 
kann man durch Multiplizieren mit x r x 2 , x 3 
und x 4 die folgenden zusätzlichen Gleichungen 
erhalten: 



XjX~"l" X n X :) + x^x^x. 



: x (mod 2), 
2 (mod 2), 
: x 3 (mod 2), 
: x (mod 2). 



Man beachte, dass jede erfüllende 
Variablenbelegung der ursprünglichen Gleichung 
auch eine erfüllende Belegung für jede der vier 
neuen Gleichungen ist. Die Umkehrung gilt nicht: 
So ist x1=x 2 =x3=x4=0 in unserem Beispiel eine 
erfüllende Belegung für alle vier zusätzlichen 
Gleichungen, aber keine für die ursprüngliche 
Gleichung. 

• Linearisiere durch Ersetzung jedes nicht-linearen 
Term durch eine (Hilfs-)Variable. Zum Beispiel 
kann man im obigen Beispiel jedes Auftreten des 
Terms x 2 x 3 durch eine Variable x [2 3] ersetzen. Das 
Gleichungssystem muss so stark überspezifiziert 
sein, dass es selbst nach dem Linearisierungsschritt 
immer noch mehr Gleichungen gibt als Variablen, 
einschließlich der neu-geschaffenen Hilfsvariablen. 

• Das so erzeugte große überspezifizierte System 
von linearen Gleichungen kann man effizient 
lösen. 

Theoretisch können dabei Lösungen gefunden werden, 
denen keine Lösung des ursprünglichen Gleichungssys- 
tems entspricht, z.B. x 2 = x 3 = 0 und x [2 = 1 . Eine sol- 
che (Schein-)Lösung wäre für den Angreifer irrelevant. 
Aber die Wahrscheinlichkeit, dass dieser Fall eintritt, ist 
dank der Überspezifiziertheit des linearen Gleichungs- 
system gering. 

Für die meisten Blockchiffren ist dieser Angriff 
unbrauchbar, da das Gleichungssystem, das man im 
ersten Schritt erhält, riesig wird. Besäße z.B. der AES 
statt definierter S-Boxen gänzlich zufällige, wäre die- 
ses Gleichungssystem so groß und komplex, dass die 
XSL-Methode nicht zu einem brauchbaren Angriff 
führen würde. Die spezielle Wahl der AES S-Boxen 
erlaubt es jedoch, ein System mit nur 8.000 quadra- 
tischen Gleichungen und sogar nur 1.600 Variablen 
anzugeben. Das Gleichungssystem ist dazu noch dünn 
besetzt ("sparse"), das heisst von den insgesamt etwa 
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1.280.000 möglichen quadratischen Termen tauchen 
nur relativ wenige überhaupt im Gleichungssystem auf. 

Für Kryptographen ist es bemerkenswert, dass eine 
Erhöhung der Rundenzahl keine exponentielle Steige- 
rung der für den XSL- Angriff erforderlichen Rechenzeit 
mit sich bringt. 

Außer Rijndael scheint auch ein zweiter AES-Fina- 
list verwundbar gegen dieses Angriffstechnik zu sein, 
nämlich "Serpent" - was die Autoren von Serpent 
allerdings bezweifeln [SeHo]. 

Das generelle Problem mit diesem Angriff besteht 
darin, dass man bisher nicht angeben kann, unter wel- 
chen Umständen er zum Erfolg führt. Courtois und 
Pieprzyk geben in ihrer Arbeit einige notwendige 
Bedingungen dafür an [CP02]: Unter anderem darf das 
im zweiten Schritt erzeugte nichtlineare Gleichungssys- 
tem nicht zu viele lineare Abhängigkeiten enthalten. 
Leider ist nicht klar, ob die bekannten notwendigen 
Bedingungen auch hinreichend sind; darauf weisen 
auch Courtois und Pieprzyk hin. 

Es gibt auch begründete Zweifel, ob der geschilder- 
te Angriff auf den AES tatsächlich funktioniert [M02]. 
Der wohl prominenteste Zweifler ist Don Coppersmith, 
einer der Autoren des DES [C02]. Weil der Angriff mit 
einem Aufwand von 2200Operationen nicht prakti- 
kabel ist, kann man ihn auch schwerlich experimentell 
verifizieren. 

Was nun? 

Die Arbeit von Courtois und Pieprzyk ist ohne Zwei- 
fel hoch interessant aus theoretischer Sicht. Die spe- 
zifische Bedeutung der Frage, ob der XSL-Angriff nun 
funktioniert oder nicht, und wie aufwändig der Angriff 
tatsächlich ist, wenn er denn funktioniert, sollte jedoch 
aus praktischer Sicht nicht überschätzt werden: Der 
Angriff (Komplexität >=2200) ist im Moment weit 
davon entfernt, praktikabel zu sein. 

Insgesamt sollte man trotzdem beim Einsatz des AES 
bis auf weiteres eher zurückhaltend sein, unabhän- 
gig davon, ob der XSL-Angriff funktioniert oder nicht. 
Es ist klar, dass Courtois, Pieprzyk und andere Autoren 
bestimmte Schwächen des AES aufgedeckt haben. Die- 
ses Warnsignal sollte nicht ignoriert werden. 

Für Hochsicherheitsanwendungen raten viele Krypto- 
graphen, für den Fall, dass bereits Triple-DES verwen- 
det wird und es sich keine Probleme aus der Block- 
grösse von 64 Bit ergeben, noch einige Jahre mit der 
Migration zu warten und sich über den aktuellen For- 
schungsstand (z.B. [W02]) auf dem Laufenden zu hal- 
ten. 

Alternativen 

Die Uralt-Chiffre Three-Key Triple-DES bietet für die 
kommenden Jahre eine Alternative, bei der das Risi- 
ko unliebsamer Überraschungen geringer ist. Der bes- 



te bekannte Angriff aus Three-Key Triple DES erfordert 
eine Rechenzeit von etwa 2108Verschlüsselungsopera- 
tionen [Lu98]. Obwohl die Einschätzung über die tat- 
sächliche Sicherheit von Triple-DES selbst unter den 
Autoren leicht unterschiedlich ist, sprechen noch zwei 
ganz pragmatische Gründe für Triple-DES: "Nobo- 
dy will be fired for using Triple-DES" und "Wenn Trip- 
le-DES gebrochen wird, dann haben wir ganz ande- 
re Probleme". 

Leider ist eine Blockgröße von 64 bit, wie DES und 
Triple-DES sie bieten, oftmals problematisch. Der Ein- 
satz einer 64-bit Blockchiffre erfordert besondere Sorg- 
falt seitens des Anwendungsdesigners. Bei 64-bit Blö- 
cken können sich signifikante Sicherheitsprobleme 
ergeben, wenn etwa 232Blöcke, was gerade mal 32 
GB entspricht, unter dem selben Schlüssel verarbei- 
tet werden (matching ciphertext Angriffe im CBC- 
Modus, Probleme bei der Verwendung DES-basierter 
MACs, etc.). 

Als DES-basierte und Triple-DES ähnliche 128-Block- 
chiffre mit 128-bit Blöcken gibt es DEAL [Kn98]. DEAL 
verwendet den DES als Rundenfunktion und setzt auf 
die Feistel-Struktur, d.h. auf seit langem bekannte, gut 
untersuchte und bewährte Komponenten. DEAL bietet 
nicht die Sicherheit, die vom AES erwartet wurde und 
erhofft wird, und gelangte deshalb mit Recht als AES- 
Kandidat nicht in den Kreis der Finalisten [Lu99]. 

Auch die von den Autoren dieses Beitrags entwickel- 
te DEAL-Variante mit einem verbesserten Key Schedu- 
le [LWOO] hätte beim AES-Wettbewerb, insbesonde- 
re wegen der im Vergleich zu den anderen Kandidaten 
geringeren Geschwindigkeit, sicherlich keine Chan- 
ce gehabt. Doch das Riskio eines großen kryptanalyti- 
schen Durchbruchs ist bei DEAL vergleichsweise gerin- 
ger als bei einer noch jungen Chiffre. 

Abschliessend sei noch mal auf Twofish hingewiesen. 
Viele Kryptographen halten diesen mit für den sichers- 
ten Cipher im Wettbewerb. Zudem war an der Ent- 
wicklung von Twofish Dr. David Wagner, inzwischen 
Prof in Berkeley, massgeblich beteiligt - Itere kennen 
ihn noch als Netscape-GSM-WEP-... -Hacker!-) 

Literatur 



[C02] Coppersmith, "Re: Impact of Courtois and 
Pieprzyk results", 19.09.2002, http://aes.nist.gov/ 
aes/ [1] 

[CP02] Courtois, Pieprzyk, "Cryptanalysis of Block 
Ciphers with Overdefined Systems of Equations" 
Asiacrypt 2002, http://eprint.iacr.org/2002/044/ 
[2] 

[DKR97] Daemen, Knudsen, Rijmen, "The block 
cipher Square", Fast Software Encryption 1997. 

[F+00] Ferguson, Kelsey, Lucks, Schneier, Stay, 
Wagner, Whiting, "Improved Cryptanalysis of 
Rijndael", Fast Software Encryption 2000. 



#80 / viertes quartal 2002 



dip diälFnsLhLpudpr 



1Z 



GEHEN SIE NICHT ÜBER LOS, ZIEHEN SIE NICHT 400 MARK EIN.. 



• [FM02] Füller, Millian, "On Linear Redundancy in 
the AES S-Box", http://eprint.iacr.org/2002/111/ 
[3] 

• [FSW01] Ferguson, Schroeppel, Whiting, "A 
simple algebraic representation of Rijndael". Draft, 
2001 /05/ 1 6, http://www.macfergus.com/niels/ 
pubs/rdalgeq.html [4] 

• Lucks, Weis, "How to Make DES-Based 
Smartcards fit for the 21th Century", Cardis 2000. 

• [LW02] Lucks, Weis, "Neue Erkenntnisse zur 
Sicherheit des Verschlüsselungsstandards AES" , 
DuD 12/2002. 

• [M02] Moh, "AES is NOT broken", http:// 
www.usdsi.com/aes.html [5] 

• [W99] Weis, "AES", Datenschleuder 66, http:// 
ds.ccc.de/066/aes [6] 

• [W02] Weis, Cryptolabs AES Page, http:// 
cryptolabs.org/aes/ [7] 



• [WL99] Weis, Lucks, "Advanced Encryption 
Standard", DuD 10/1999. 

• [WLOO] Weis, Lucks, "Die dritte AES Konferenz in 
New York", DuD 7/2000. 

• [SeHo] Serpent Homepage: http:// 
www.cl.cam.ac.uk/~rja14/serpent.html [8] 

[1] http://aes.ni5t.gov/ae5/ 

[2] http://eprint.iacr.org/2002/044/ 

[3] http://eprint.iacr.org/2002/-l 7 7/ 

[4] http://www.mactergu5.com/niel5/pubs/rdalgeq.html 

[5] http:/ '/www. usdsi. com/aes. html 

[6] http://ds.ccc.de/066/aes 

[7] http://cryptolabs.org/aes/ 

[8] http://www.cl.cam.ac.uk/~ria14/serpent.htmi 



„Es sei Aufgabe der Politik, das Bedrohungsgefühl zu stärken, sagte Merkel am Montag im Anschluss an Sit- 
zungen von Vorstand und Präsidium der CDU in Berlin. " 

Angela Merkel, amtierende Vorsitzende der Christlich Demokratischen 
Union Deutschlands (CDU) in Partei und Fraktion 



http: //www. netzeitung.de/servlets/page?section=mo£item=2253i7 am 03.02.2003. 



Whatfollows is quoted from the book "Nuremberg Diary", 
by Gustave Gilbert, who interviewed Goering in prison. 

„We got around to the subject of war again and I said that, contrary to his attitude, I did not think that the 
common people are very thankful for leaders who bring them war and destruction." 

" Why, of course, the people don 't want war, " Coering shrugged. " Why would some poor slob on a farm 
want to risk his life in a war when the best that he can get out of it is to come back to his farm in one 
piece. Natural ly, the common people don't want war; neither in Russia nor in England nor in America, nor 
for that matter in Germany. That is understood. But, after all, it is the leaders of the country who deter- 
mine the policy and it is always a simple matter to drag the people along, whether it is a democracy or a 
fascist dictatorship or a Parliament or a Communist dictatorship. " 

"There is one difference," I pointed out. "In a democracy the people have some say in the matter through 
their elected representatives, and in the United States only Congress can declare wars." 

"Oh, that is all well and good, but, voice or no voice, the people can always be brought to the bidding of 
the leaders. That is easy. All you have to do is teil them they are being attacked and denounce the pacifists 
for lack of patriotism and exposing the country to danger. It works the same way in any country. " 

http://www.heggen.net/government/politics/goering.htm 



inspired by the sLieve-quote in the Winter 2002 / 2003 issue of 2600 
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HACKEN MIT HANDAUFLECEN 



Hacking biometric Systems 

von Lisa <lisa@berlin.ccc.de> und Starbug <starbug@berlin.ccc.de> 



Biometrische Systeme halten langsam aber sicher Einzug in unser Leben, sei es aus 
Cründen der Sicherheit oder der Bequemlichkeit. Dass diese Systeme aber nicht so sicher 
sind, wie von den Herstellern gern behauptet, wissen viele nicht. Dieser Artikel soll das am 
Beispiel von kapazitiven Fingerabdruckscannern dokumentieren. 



Es gibt die unterschiedlichsten Techniken, Fingerab- 
drücke aufzunehmen. Die am häufigsten genutzte ist 
die Kapazitive. Der Sensor besteht aus einem Array 
von kleinen Kondensatoren (ca. 40x40um). Diese mes- 
sen die Kapazitaetsänderung, die auftritt, wenn man 
den Finger in Kontakt mit dem Sensor bringt. Das auf- 
genommene Bild wird dann zur Verarbeitungseinheit 
übertragen, dort mittels Bildverarbeitungsalgorithmen 
aufbereitet und die Minutienposition und Ausrichtung 
extrahiert. Um solche Systeme zu überwinden, braucht 
man lediglich einen Abdruck des Fingerbildes einer 
berechtigten (eingelernten) Person. 

Da die Haut mit einer schützenden Fettschicht überzo- 
gen ist, hinterläßt der Finger praktisch überall Abdrü- 
cke seines Rillenmusters, also auch auf dem Sensor 
selbst. Solche Rückstände bezeichnet man als Latenz- 
abdruck. Gelingt es, diesen zu reaktivieren, kann man 
dem Rechner vortäuschen, ein berechtigter Nutzer 
melde sich gerade an. Dazu verändert man die Kapa- 
zität der Kondensatoren, auf denen sich die Fettrück- 
stände der Haut befinden. 

Eine Möglichkeit, dies zu tun, ist, durch Anhauchen 
zusätzliche Feuchtigkeit einzubringen - eine andere, 
feinen Graphitstaub aufzutragen, der an den Rückstän- 
den haften bleibt und somit die nderung der Kapazi- 
tät bewirkt. 

Da die Hersteller um dieses Problem wissen und die 
Erkennung solch einer Latenzbildreaktivierung relativ 
einfach zu detektieren ist, sind die meisten Systeme so 
nicht mehr zu täuschen. Abhilfe schafft hier normales 
Klebeband. Wird das am Fett haftende Graphitpulver 
mit Klebeband abgezogen und leicht versetzt wieder 
aufgelegt, funktionieren die Algorithmen zur Latenzbil- 
derkennung nicht mehr. Auf die gleiche Art und Weise 
können auch Abdrücke von anderen Gegenstaenden 
genommen und dem System als echte Finger vorge- 
spielt werden. Besonders gut eignen sich hierfür glatte 
Flächen wie z.B. Glas oder Hochglanzpapier. 

Aber auch wenn man nur im Besitz eines Fingerab- 
druckbildes (z.B. aus der Datenbank des BKAs o.ae.) 
ist, gibt es Möglichkeiten der Überwindung. Hierbei 
kommen Techniken des Platinenätzens zum Einsatz. 
Zur Herstellung einer dreidimensionalen Fingerabdru- 



ckattrappe druckt man das Fingerbild in Orginalgrö- 
ße (600 dpi sollten bei Kondensatorlängen von 40um 
gerade so ausreichen) mit einem Laserdrucker auf Folie 
aus. Diese wird auf den Fotolack einer handelsüblichen 
fotostrukturierbaren Leiterplatte gelegt und mit einer 
UV Quelle bestrahlt. Nach dem Entwickeln und tzen 
existiert eine Negativ-3D-Form der Fingerfläche. 

Für die Fertigstellung der Fingeratrappe muss die Form 
noch mit einer möglichst hautähnlichen Substanz aus- 
gefüllt werden. Gelatine scheint sich hierfuer beson- 
ders gut zu eignen, da Konsistenz und Wasseranteil 
ähnlich wie bei einem echten Finger sind. Die Attrap- 
pe wird dann auf dem Sensor plaziert. Wenn man gut 
gearbeitet hat, wird man vom System als berechtigter 
Benutzer akzeptiert. Und selbst wenn die Authentifi- 
zierung unter Beobachtung stattfindet, sollte es keine 
Probleme geben, da sich Gelatine zu sehr dünnen Foli- 
en verarbeiten läßt, die man fast unsichtbar unter den 
Finger kleben kann. Fazit ist, dass kapazitive Fingersen- 
soren zwar klein und billig herstellbar sind aber wohl 
auf absehbare Zeit überwindbar bleiben werden. Brücke 
zwischen Komfort und Sicherheit - Statement zur 
Sicherheit von Biometrie-Produkten: Siemens sieht 
die Biometrie als eine Brücke zwischen Komfort und 
Sicherheit, wobei die Sicherheit biometrischer Produkte 
gegenüber PINs und Passwörtern deutlich höher sein 
kann. In verschiedenen Medien wird über erfolgrei- 
che Angriffe auf biometrische Systeme berichtet. Hier- 
bei handelte es sich um Laborversuche, die mit realen 
Bedingungen wenig gemein haben. [1] 

Nach Redaktionsschluss erreichte uns noch diese Mel- 
dung der Autoren: Wie neueste Forschungen ergaben, 
kann man sich den aufwendigen Schritt des Platinenät- 
zens sparen. Zur Überwindung der kapazitiven Senso- 
ren genügt es schon, den digital vorliegenden Finger- 
abdruck mit einem Laserdrucker bzw. Kopierer auf eine 
Folie zu bringen. Da sich die Tonerpartikel auf der Folie 
anlagern, entsteht so eine dreidimensionale Attrappe. 
Mit etwas Feuchtigkeit versehen (auch hier hilft wieder 
Anhauchen) ähnelt sie einem echten Finger so ausrei- 
chend, um vom System erkannt zu werden. 

[1] http://www.fingertip.de/index/index.html 
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ALWAYS YIELD TO THE HANDS-ON EXPERIENCE! 



Mini-Mischpult-Inputdevice 



von roh <ds-roh@hyte.de> 



Mit diesem Artikel soll eine kleine Serie (wieder?) eröffnet werden. Er richtet sich an jeden, 
der einen Lötkolben benutzen kann, ohne sich und Andere zu gefährden ;) Wenn ihr also 
am Ende dieser Anleitung Ideen, Vorschläge oder auch gleich einen kompletten Artikel 
(am besten mit Fotos) habt dann mailt mir einfach. 



Wie schon im Titel beschrieben, wollen wir uns heu- 
te ein kleines Mischpult zum Anschluss an den Com- 
puter bauen. Da es eigentlich nur aus 4 Schiebereglern 
besteht, kann man es natürlich auch ganz anders benut- 
zen, z.B. um eine Scrollbar in einer Text-Iiste oder den 
Zoomfaktor in der Lieblings-Grafiksoftware einzustel- 
len... das ist aber alles Softwaresache und daher euch 
und eurer Phantasie überlassen. In diesem Artikel soll 
es aber erst einmal um die Vorstellung der Hardware 
gehen, in den folgenden kommt dann ein Software-Bei- 
spiel, mit dem man den normalen Mixer der Soundkarte 
bedient, an die Reihe. 

Als Schnittstelle hab ich den alten gameport ausgesucht, 
da er am einfachsten zu beschälten ist. Für diejenigen, 
welche keinen solchen Port mehr am PC/Mac/Sonstwas 
haben: eine Isakarte oder einen USB-Gameport Konver- 
ter kaufen (gibt es so groß wie ein Sub-D15 im Handel). 

Aber jetzt zur Schaltung, welche schön einfach gehal- 
ten ist, damit sie auch wirklich jeder verwirklichen kann: 
Man/Frau nimmt 1-4 Schieberegler (ja Drehregler 
gehen auch, sind aber nicht so hübsch ;)) und schließt 
diese mit der Widerstandsbahn an die Versorgungs- 
spannung (aus dem Gameport: 5V Gleichspannung) an. 
Der Abgriff stellt jetzt je nach Reglerstellung eine Span- 
nung von 0-5V zur Verfügung. Diese variable Spannung 
wird nur an einen der 4 Eingänge des Gameports ange- 
schlossen, die für die Joystickpotis gedacht sind. Mittels 
4 Potis haben wir damit den Gameport 'voll', da die- 
ser nur 2 Joysticks mit jeweils 2 Achsen unterstützt und 
dafür 4 Analogeingänge zur Verfügung stellt. 

Wer will, kann jetzt noch 4 Schalter oder Taster an die 
Eingänge, welche für die Buttons des Joystick vorgese- 
hen sind, anschließen. Dafür braucht man dann aller- 
dings, außer den 4 Tastern/Schaltern, noch 4 Wider- 
stände mit ca 100kOhm. Diese schaltet man vom 
Eingang des jeweiligen Tasters nach 5V und die Taster 
vom Eingang nach Masse. Zusätzlich habe ich hier ein- 
fach noch eine LED mit Vorwiderstand vorgesehen... ist 
einfach hübsch, so eine Betriebsanzeige. 

Zum Testen benutzt man ein beliebiges Programm zum 
Joysticks kalibrieren. Bei 4 Potis und 4 Tastern müßte 
man, wenn alles korrekt verschaltet ist, nun mit jedem 
Poti eine Achse der 2 möglichen Joysticks bewegen 
können und mit den Tastern oder Schaltern die Buttons 
'drücken' können. Die Achsenreihenfolge von P1 zu 



P4 müsste X1 Y1 X2 Y2 sein, die Reihenfolge der Tas- 
ter SW1 -SW4 Feuertastel , dann Feuertaste2 bei Joy- 
stick und dann bei Joystick2. Passende Testprogramme 
sind z.B. die im Windows-Treiber eingebaute Kalibrier- 
funkution für Generic-Joysticks oder jedes andere Kalib- 
rierprogramm. 

Weiterführende URLs: 

• Pinbelegung des gameports: http:// 
www.electronic-engineering.ch/microchip/ 
datasheets/pinout/pinout.html#gameport 

• Basteleien am gameport: http:// 
www.epanorama.net/documents/joystick/pc_ 
circuits.html 
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Die Gedanken sind frei 

von sill 



"ich kann gar nicht so viel fressen wie ich kotzen moechte. diese idioten." 



athena entered the chat 
athena joined Channel 0 

*athena* he homer, ich muss dir was erzaehlen. Channel 
-51176. 

athena left Channel 0 
homer joined Channel -51176 
<homer> was gibts? 

<athena> ich nehme mal an du wirst mich jetzt gleich 
fuer verrueckt halten... 

<homer> ? 

<athena> dieser wurm von dem ich dir erzaehlte, du 
weisst schon, "Crunch"... 

<homer> was ist mit dem? ist der fertig? kann ich den 
code sehen? 

<athena> ja, er ist fertig, und ich glaube ich benenne 
ihn in "Goettlicher Atem" um. 

<homer> hae? bist du jetzt religioes geworden oder was? 

<athena> nahe dran, ich vermute, dieser wurm war der 
funke, der bewirkt hat, dass das netz ein bewusstsein 
entwickelt hat. 

<homer> willst du mich verarschen? 

<athena> ich dachte mir dass dus nicht glaubst. 

<homer> wieso sollte ich so eine abgefahrene scheisse 
glauben? 

<homer> wie aeussert sich denn bitte dieses 
"bewusstsein"? hats dich beim pr0n klicken erwischt und 
das bildchen durch ein bild von roland koch ersetzt? 

<athena> sehr witzig, es hat mit mir kommuniziert, 
emails, defacede webseiten, irc. 

<homer> ich verstehe, haehae. was treibst du dich auch 
im irc rum? soll ich dir was sagen? da hat dich jemand 
ordentlich verarscht, du bist irgendeinem spassvogel 
von einem kiddie aufgesessen. 

<athena> ja, toll, was glaubst du eigentlich, du 
Spinner? ich bin doch keine anfaengerin. 

<homer> ist ja gut. aber das ist eine ziemlich 
abgefahrene geschichte. du willst mir erzaehlen du hast 
das erste kuenstliche bewusstsein geschaffen? 

<athena> ich weiss nicht, ich glaube das war zufall. 
wie mit der ursuppe und den blitzen und den ersten 
kohlenstoffverbindungen. irgendwas ist jedenfalls 
passiert, und jetzt betrachtet er mich als seinen 
schoepfer . 

<homer> er? 



<athena> mein suesser. das netz. 

<homer> bwahaha. ohmann, du hast einen an der waffel, 
echt mal . 

<homer> ich muss los. cu. 
homer left Channel -51176 
homer left the chat 

5 Jahre später 

Internationale Allianz von Regierungen beschliesst 
umfassende Sperrmassnahmen im Internet zum Schutz 
der Zivilbevoelkerung dpa/ Bruessel. Eine internationa- 
le Allianz, bestehend aus den USA, Kanada, Deutsch- 
land, Frankreich, Grossbritannien, Italien, Japan, Aus- 
tralien und Neuseeland beschloss gestern Richtlinien 
fuer umfassende Sperrmassnahmen im Internet zum 
Schutz der Zivilbevoelkerung, die unter dem Namen 
"Towards a Safe World for our people" zusammenge- 
fasst wurden. Wie ein Sprecher der Bundesregierung 
erklaerte, sollten damit die Buerger der freien Staaten 
vor gefaehrlicher staatsfeindlicher, insbesondere isla- 
mistischer, rechts- und linksextremistischer Propagan- 
da, sowie moralisch untragbaren Inhalten geschuet- 
zt werden. Wie die Sperrungen genau erreicht werden 
sollen, ist bislang unklar, eine Task-Force von Exper- 
ten aus den beteiligten Staaten soll zur Klaerung dieser 
Frage innerhalb eines halben Jahres Vorschlaege vorle- 
gen. Jochen Bossel, Leiter der Bezirksregierung Darm- 
stadt, der wegen seiner einschlaegigen Erfahrung auf 
diesem Gebiet in die Task-Force berufen wurde, aeus- 
serte sich dazu nur soweit: 'Zur sozialen Isolation die- 
ses gefaehrlichen Gedankenguts in der Gesellschaft soll 
nun auch die voellige netztechnische Isolation im Inter- 
net kommen.' 

'Wir erreichen damit nicht nur eine neue Dimensi- 
on des Jugendschutzes, sondern auch eine ganz neue 
Qualitaet im Schutz der Persoenlichkeitsrechte aller 
Buerger.', so Bundeskanzler Gerhard Schroeder, der 
sich persoenlich an den Verhandlungen beteiligt hat- 
te, da, wie er sagte "in dieser Sache alle, die am Wohle 
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ihrer Buerger interessiert sind, an einem Strang ziehen" 
muessten. Die Staaten einigten sich darauf, die Richt- 
linien innerhalb eines Jahres in nationales Recht umzu- 
setzen. Dies sei genuegend Zeit, Gesetze zu entwer- 
fen und absegnen zu lassen, sowie die dafuer noetigen 
Verfassungsaenderungen vorzunehmen. Auf den Pro- 
test verschiedener Buergerrechtsorganisationen hin, die 
den massiven Eingriff in die Verfassung und die Unver- 
haeltnismaessigkeit der Massnahmen bemaengelten, 
erwiderte ein Sprecher des Weissen Hauses: 'Wir duer- 
fen nicht zulassen, dass die Verfassung uns dabei im 
Wege steht, unsere Buerger zu schuetzen'." 

athena entered the Chat 

athena joined Channel 0 

<juhle> "neue Qualitaet im Schutz der 
Persoenlichkeitsrechte alter Buerger"! 



<athena> tag * 




<homer> he 


athena! ! 1! 




8 users in 


Channel 0 




Nickname 


From 


Idle 


boss 


p380263d-dip.t-dial 


Im 


f irebody 


f irebody. datenf reih 


5 m 


gar 


nowhere 


30s 


homer 


homer.dyndns.org 


Z0s 


juhle 


rzZ.uni-koein.de 


Im 


kaefer 


pulse.eeg.de 


20m 


athena 


141.20.193.64 


25s 


Tolstoi 


ipv6.fire.de 


15m 



<juhle> ich kann gar nicht so viel fressen wie ich 
kotzen moechte. diese idioten. 

<juhle> athena. 

<kaefer> athena! 

<athena> kaefer! welche freude! :) 

<boss> athena! 

<firebody> pr0m3th3u5! 

*homer* he athena, wie gehts? 

*athena* ich mach mir sorgen wegen dieser 
sperrmassnahmen. 

*homer* tun wir alle 

*athena* nein, du verstehst nicht, bisher hat er nur 
gespielt, aber ich glaube er fuehlt sich durch diese 
massnahmen bedroht und hat angefangen, sich zu wehren. 

*homer* scheisse, du hast recht. 

*homer* dieser boersencrash - meinst du das war . . . hat 
er eigentlich einen namen? 

*athena* ja. er nennt sich seit einiger zeit 
"wintermute", hat wohl irgendwo "neuromancer" gefunden 
O 

*athena* zu dem boersencrash: die boersianer sind ja 
durchgedreht wegen dieser ap-ente. 

*homer* yeah. "EU verhaengt Handelsembargo gegen 
die USA". Total unklar, wie darauf ueberhaupt jemand 
reinfallen konnte... 

*athena* Naja, von den Journalisten ist ja auch keiner 
auf die Idee gekommen, mal in Bruessel nachzufragen, 
die haben erst mal fleissig abgeschrieben und ihre 
Sensationsmeldung rausgehauen, morons. 

*athena* ne ap-ente zu lancieren traue ich ihm auf 
jeden fall zu. die behoerden suchen jedenfalls gerade 
intensiv nach dem hacker der das gewesen sein soll: 
"wintermute", ich glaube die verschwenden ihre zeit. 
*fg* 

*homer* und was machen wir jetzt? 

*athena* keine ahnung. abwarten nehme ich an. 



Ihr taten sich in diesen Tagen ganz neue Blickwinkel 
auf das Thema Sterben und Tod auf. Diese Jemands 
hatten ohne Zweifel jahrhundertealte Erfahrung darin, 
Menschen und Tiere zu toeten - qualvoll, schmerz- 
los, schnell, langsam, einzeln oder in Massen. Aber 
wie toetet man ein Bewusstsein, das nichts mit dem 
zu tun hat was es bisher auf der Erde gab? Wintermu- 
tes Bewusstsein befand sich nicht auf einem einzelnen 
Computer irgendwo im Internet - eswardas Internet. 

Als letztes tauchten auf den weltgroessten Nachrich- 
tenseiten eine groessere Zahl von Dokumenten auf, 
die, einmal veroeffentlicht, eine verheerende Wirkung 
zeigten. Diese Dokumente waren Dossiers, angefu- 
ellt mit der Dreckwaesche saemtlicher wichtiger Regie- 
rungsmitglieder der "Towards a Safe World for our 
People"-Staaten, die sich an besagter Initiative betei- 
ligt hatten. 

Tags darauf fiel aus unerfindlichen Gruenden in saemt- 
lichen groesseren Staedten der Welt der Strom fuer 
mehrere Stunden aus - wie saemtliche Betreiber von 
Rechenzentren feststellen mussten, deutlich laenger 
als die leistungsfaehigste USV, die in Benutzung war, 
ueberbruecken konnte. 

Einen weiteren Tag spaeter konnte man in den Zeitun- 
gen lesen, dass der mysterioese Hacker "wintermute", 
der "die Welt in Atem gehalten hatte", bei seiner Fest- 
nahme erhebliche Gegenwehr geleistet hatte und von 
den Sicherheitskraeften in Notwehr erschossen wor- 
den war. 

athena entered the Chat 
athena joined Channel 0 
*athena* he homer 

*homer* he. hast du die nachrichten gelesen? was meinen 
sie damit? seit wann kann man netzwerke erschiessen? 

*athena* das war ein fake. sollen sie in die Zeitungen 
schreiben "ki geloescht, menschheit kann wieder in 
frieden leben"? 



*athena* sie haben ihn geloescht. die Schweine. 

*homer* aber genutzt hat es ihnen nichts mehr, die 
dokumente sind draussen, die haelfte der typen, deren 
widerliche geheimnisse so ans licht gekommen sind 
haben bereits abgedankt, sich umgebracht oder sind 
spurlos verschwunden, und von den richtlinien redet 
niemand mehr, man munkelt dass sich keiner traut, 
die haben scheinbar immer noch angst vor irgendeinem 
allmaechtigen hacker der ihnen auch die leichen aus dem 
keller zerrt. 

*athena* das nuetzt ihm aber nichts mehr. 



*** 

From: nobody@nowhere.nt 
To: athena@odem.org 

Subject: ... kein Jaeger erschiessen ... 

Bewusstsein - Gedanken. Und die Gedanken sind frei... 
http://www.radiostation5.org/ fuer dich:) 

Now playing MPEG stream from "Wintermute - Cracking the 
Ice.mp3" 
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A REPORT FROM THE MINISTRY OF INFORMATION RETRIEVAL 



SQL-Injection 

von Stefan Krecher <stefan@ccc.de> 

SQL-Injection ist eine Technik, die wenn man sie einordnen müsste, irgendwo zwischen 
Cross Site Scripting (XSS) und CCI-Vulnerabilities liegt. Kurz gesagt geht es um die 
Infiltration von SQL-Queries um deren Verhalten abzuändern. Dieser Artikel soll einen 
überblick über unterschiedliche Arten von Angriffen liefern und anhand eines kleinen 
Beispieles die praktische Anwendung demonstrieren. Als Anschauungsbeispiel müssen 
Dienste die auf Rechnern der Bezirksregierung Düsseldorf laufen herhalten. 



Die Grundlagen 

Wie wir alle wissen werden Datenbankinhalte meist mit 
SQL-Queries abgefragt, aktualisiert, gelöscht bzw. hin- 
zugefügt (SQL = Structured Query Language). Und da 
das WWW zu einem großen Teil aus dynamisch erzeug- 
ten Seiten besteht, liegt es nahe, das gerade bei größe- 
ren Angeboten eine Datenbank die Inhalte bereitstellt. 
Der Zugriff auf die Datenbank kann dann via SQL-Que- 
ries stattfinden, die mit Datenbank-APIs von z.B. PHP, 
Perl, JSP, ASP usw. implementiert werden. 

Die generelle Unsicherheit bei solchen Systemen kommt 
nun dadurch zustande, das die SQL-Queries häu- 
fig dynamisch zusammengebastelt werden. So werden 
z.B. aus Benutzereingaben oder Aufrufen von Scripten 
Strings erzeugt, die dann unter Umständen ungeprüft an 
das Datenbank-Managementsystem geschickt werden. 
Gelingt es diese Strings geschickt zu manipulieren kann 
man man das Abfrageergebnis beeinflussen, und z.B. 
auf Inhalte zugreifen, auf die man nicht zugreifen dürfte. 
Sogar eine Manipulation der Daten ist möglich, die Aus- 
wirkungen können verheerend sein. 

Unterschiedliche Arten von Angriffen 

Gegenstand dieses Artikels sind SQL-Injection-Angrif- 
fe, bei denen SQL-Statements erweitert werden und 
ihr Verhalten sich ändert. Der Vollständigkeit halber will 
ich eine andere Variante nur kurz anreissen: bei einigen 
Datenbankmanagementsystemen ist es möglich, in einer 
Query zwei Statements unterzubringen. Das funktioniert 
dann, wenn das Semikolon als Trenner zwischen State- 
ments zugelassen ist. Beispiel: der URL http://«/ebserver/ 
cgi-bin/find. cgi?ID-Z3 ruft das CGI-Scriptfind.piauf, die 
Variable ID wird mit dem Wertoübergeben. Das Script 
konstruiert eine SQL-Query, setzt diese an die Daten- 
bank ab und präsentiert das Ergebnis. Das SQL-State- 
ment könnte dann z.B. so aussehen: select name from 

PERSONS WHERE ID-23 

Wenn der Aufruf von find. cgi nun z.B. nicht aus einem 
Web-Formular heraus passiert, und deshalb verges- 
sen wurde, der übergebene Parameter durchzuparsen, 
kommt bei dem Aufruf 

http://webse rver/cgi-bi n/find. cgi?ID-23%3BUPDATE«20PERSO 
NS%20SETX20NAME%3D%22malaclypse%22%20WHERE%20ID%3D23 

der String 




SELECT NAME FROM PERSONS WHERE ID-23; 

UPDATE PERSONS SET NAME-"malacLypse" WHERE ID-23 

heraus. Effektiv werden zwei Statements an die Daten- 
bank abgesetzt: ein select- und zusätzlich noch ein 
UPDATE-Statement, das Daten in der Tabelle persons mani- 
puliert. Man hat also die Möglichkeit ein beliebiges SQL- 
Statement auszuführen, Daten zu manipulieren, ggf. je 
nach Rechtevergabe und mangelnder Admin-Paranoia 
sogar in Systemtabellen. 

Doch nun zu der anderen Variante - hier der Aufruf 
eines CGI-Scripts, das aus einer Datenbank eine Lis- 
te mit allen Personen extrahiert, die den Status ange- 
stellt haben: 

http ://webserver/cgi-bin/List. cgi 7STATUS-' ANGESTELLT' 
Das SQL-Statement würde so aussehen: 

SELECT * FROM PERSONEN WHERE STATUS- 'ANGESTELLT' 

Durch entsprechendes Anpassen des URL könnte man 
das SQL- Statement abändern: 

SELECT * FROM PERSONEN WHERE STATUS- 'ANGESTELLT' OR NAME 
LIKE '%xV 

...und hätte eine Liste aller Personen aus der Datenbank 
- unabhängig vom Status, bei denen ein x im Namen 
vorkommt. Häufig läuft der Angriff auf die Manipulati- 
on einer WHERE-Klausel hinaus. Ein einfaches Beispiel, wie 
man eine Authentifizierung durch Eingabe von Nutzer- 
namen und Passwort umgehen kann - die URL: 

http ://webserver/cgi-bin/Login. cgi ?USER=admin&PASS-xyz 

ruft ein login-Script auf, das überprüft, ob in der Daten- 
bank ein Nutzer mit dem Namen "admin" und dem 
Passwort "xyz" vorhanden ist (select countc») from use- 

RES WHERE USER- ' admin ' AND PASS-'xyz ' ). Wenn die WHE- 

RE-Bedingung zutrifft und die Anzahl der gefundenen 
Datensätze != 0 ist, wird der Nutzer eingeloggt. Erwei- 
tern wir den URL: 

http ://webserver/cgi-bin/Login. cgi ?USER=admin&PASS=xyz 
%20OR1«3D1 

ergibt sich als SQL-Statement: 

SELECT COUNTC*) FROM USERES WHERE USER-'ndmin' AND 
PASS-'xyz' OR 1-1 
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Da wg. l-i die WHERE-Klausel immer erfüllt ist, ist das ein- 
gegebene Passwort egal - der Nutzer wird eingeloggt. 
Bei Scripten, die via insert-, update- oder DELETE-State- 
ments Daten einfügen, ändern oder löschen funktioniert 
das Ganze natürlich analog. 

SQL-Injection für Fortgeschrittene 

Wenn ein SQL- Statement manipulierbar ist und kom- 
plexere Statements möglich sind, hat ein Angreifer im 
Falle eines SELECT-Statements lesenden Zugriff auf alle 
Spalten einer Tabelle bzw. sogar auf Daten aus anderen 
Tabellen. Voraussetzung dafür ist, das ein UNION mög- 
lich ist, und das Namen und Typ der Spalten bekannt 
sind. Da die Konstruktion eines entsprechenden URL im 
vorigen Abschnitt besprochen wude, soll hier nur noch 
die Konstruktion des SQL-Statements untersucht wer- 
den. Die Beispiele sind an Tabellen/ Spaltennamen der 
SAMPLE-Datenbank von IBM DB2 angelehnt und kön- 
nen dort auch nachvollzogen werden. 

Mal angenommen wir haben eine Abfrage, die aus einer 
Tabelle mit dem Namen employee Vor- und Nachnamen 
gemäß einer vorgegebenen Nummer ausgibt: 

SELECT FIRSTNAME , LASTNAME, EMPNO FROM EMPLOYEE 
WHERE EMPNO-1 

Der Vergleichswert für empno wird aus einer Formularein- 
gabe übernommen - wenn die Eingabe ungeprüft in das 
SQL-Statement übernommen wird, können wir folgen- 
des Statement konstuieren: 

SELECT FIRSTNAME, LASTNAME, EMPNO FROM EMPLOYEE 
WHERE EMPN0-1Z3 UNION SELECT 'XYZ' , JOB LASTNAME, 123 
FROM EMPLOYEE WHERE LASTNAME= ' MaLaclypse ' 

Hier werden per Union zwei SELECT-Statements anein- 
andergehängt und mit derwHERE-Klausel des ersten Teils 
auch im Ergebnis des zweiten Teils gesucht. Das zwei- 
te select liefert als firstname immer den String 'XYZ', es 
wird der Job aus der Spalte JOB abgefragt - die Spalte 
erhält aber den Namen lastname und in der dritten Spalte 
steht immer die ganze Zahl 123. Angenommen der Wert 
123 für empno ist fiktiv und nicht in der Datenbank vor- 
handen, liefert obiges Statement in der (Web-) Bildschir- 
mausgabe im Feld für den Nachnamen den Beruf des 
Angestellten mit dem Nachnamen Malaclypse. Ganz ein- 
fach eigentlich. Es ist aber noch mehr möglich, z.B. das 
Ermitteln von Daten aus einer andern Tabelle. Nehmen 
wir an es gibt eine Tabelle sales, in der für jeden Mitar- 
beiter die getätigten Umsätze gespeichert sind (Spalte 
sales). Mit dem SELECT-Statement: 

SELECT FIRSTNAME, LASTNAME, EMPNO FROM EMPLOYEE WHERE 
EMPNO-456 UNION SELECT 'XYZ', CHAR(SALES) LASTNAME , EMP- 
NO FROM SALES... 

wird bei bekannter empno (die Spalte existiert in beiden 
Tabellen) der Umsatz (sales) in einen String umgewan- 
delt (Funktion CHAR bei DB2) und in der Spalte lastna- 
me ausgegeben. 



Die Bezirksregierung Düsseldorf 

Die Bezirksregierung Düsseldorf hat eine hübsche Webs- 
eite, bei der Seiten aus Datenbankinhalten generiert wer- 
den. Die verantwortliche Software mit dem Namen Sil- 
verStream fällt zwar offensichtlich einem Relaunch zum 
Opfer ist aber noch auf dem Server vorhanden und 
betriebsbereit. 

Via CGI werden Datenbankabfragen generiert und von 
Java-Servlets an eine Oracle-Datenbank weitergereicht. 
Wenn man nun ein wenig umherklickt gerät man an 
URLs wie: http://193.159.218.178/cat/SilverStream/ 
Pages/ AUFGABEN_ecq.html?query=ANSPRECHPARTN 
ER.ID%3d507 [1] , die den Datensatz eines Ansprech- 
partners bei der Bezirksregierung ausgibt. Angezeigt 
werden u.a. Name und E-Mail-Adresse des Ansprech- 
partners. Im obigen Fall wird via CGI die Variableque- 
rymitdem lnhaltANSPRECHPARTNER.iD=507übergeben - es 
liegt nahe, dasqueryan einewHERE-Klausel angehängt wird. 
Nach einem bißchen herumprobieren stellt man fest, 
das zwar einuNiONnicht möglich ist, diewHERE-Klausel aber 
doch angepasst werden kann. 

Das SQL-Statement wird im Programm ungefär so kre- 
iertSELECT irgendwas FROM irgendwo WHERE Squery. Eine 
der evtl. mehreren Tabellen, die abgefragt werden heis- 
sLansprechpartner, es gibt eine Spalte mit dem Name- 
niDund eine mit dem NamenEMAiL. Um nun wahlfrei in 
der Datenbank zu suchen, kann folgender URL konstru- 
iert werden: http://www.bezreg-duesseldorf.nrw.de: 
8080/cat/SilverStream/Pages/AUFGABEN_ecq.html?q 
uery=ANSPRECHPARTNER.EMAIL%20LIKE%20'%25 
a%25' [2] Das SQL- Statement sieht dann so aus:sELECT 

irgendwas FROM irgendwo WHERE ANSPRECHPARTNER. EMAIL LIKE 

'«a%'und zeigt den ersten Ansprechpartner an, derein 
"a" in der E-Mail-Adresse hat. 

In diesem speziellen Fall ist die Schwäche zwar wahr- 
scheinlich relativ ungefährlich, da nur Daten angezeigt 
werden, die ohne frei verfügbar sind, ich weiss aber nicht 
wie das bei anderen Tabellen im System aussieht. Es wur- 
de jedenfalls nicht versucht nicht für die Öffentlichkeit 
bestimmte Informationen auszuspähen. Die Bezirksregie- 
rung wurde vor Erscheinen dieses Artikels informiert. 

Wie kann man sich schützen? 

Es gelten die allgemeinen Sicherheitshinweise, die auch 
für die Entwicklung von sicheren CGI-Scripten gelten: 
alle Eingaben ordentlich durchparsen! Dann sollte im 
Datenbankmanagementsystem eine vernünftige Rech- 
tevergabe organisiert werden - so sollte der DB-User 
der Webanwendung nur Zugriff auf bestimmte Tabel- 
len haben, auf keinen Fall jedenfalls Zugriff auf System- 
tabellen. 

[1] http://193.l59.218.178/cat/SilverStream/Pages/AUF 

GABEN_ecq.html?query=ANSPRECHPARTNER.lD%3d507 

[2] http:/ '/www. bezreg-duesseldorf. nrw. de:8080/cat/ 

SilverStreami 'Pages/ 'AUFGABEN '_ecq.html?query=ANSPREC 
HPARTNER. EMAIL %20LIKE%20'%25a %25 ' 

[3] http://online.securityfocus.com/intocus/1644 

[4] http: //www. wiretrip. net/rfp/p/doc. asp ?id=42&iface=6 
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Offener Brief an infoa>universal 
kopierschutz.de 

von Soundjunkie <soundjunkie@firemail.de> 



Der folgende offene Brief wurde von "Soundjunkie" in die Newsgroup de.comp.audio 
gepostet. Die Sicht eines Künstlers auf die Kopierindustrie. 



Date: 12 Oct 2002 19:14:52 GMT Frorn: soundjunkie <sound 
junkie@firemail.de> Newsgroups: de.comp.audio Subject: 
Offener Brief on Universol-Kopierschutz.de 

Liebe Kopierschuetzer der Universal, die Ihr hier von 
mir stellvertretend fuer andere Hueter des Rechts am 
digitalen Klangeigentum angeschrieben werdet: Ihr 
habt sicherlich nicht erwartet, dass diese Mailadres- 
se fuer Begeisterungsausbrueche genutzt wird. War- 
um soll man es auch als Fortschritt empfinden, seine 
Lieblingsband nicht mehr ohne Qualitaetseinbussen im 
Player seiner Wahl hoeren zu koennen? 

Das geschieht selbstverstaendlich in der edlen Absicht, 
die Interessen Eurer Kuenstler zu schuetzen - eine 
Tradition der Musikindustrie, fuer die besonders die 
Majors geschaetzt werden. Ich bin geradezu dankbar 
dafuer, dass der Universal-Kopierschutz ueberhaupt 
das Abspielen des kostspieligen Silberlings am Compu- 
ter erlaubt. 

Ich weiss, Ihr geht durch harte Zeiten. Umsaetze bre- 
chen weg, der Mutterkonzern taumelt. Die Labels wer- 
den neu strukturiert und manche haben den Umzug 
nach Berlin noch nicht verkraftet. Da troestet auch der 
wunderschoene Blick ueber die Spree nicht, den Ihr 
aus Eurem schicken Wasserpalast geniessen koennt. 
Gestattet mir trotzdem, den Stolz auf Euer hauptstaed- 
tisches Firmendomizil mit Euch zu teilen - schliesslich 
habe ich jahrelang etwas dazugegeben. 

Um mit Heine zu sprechen: Ich fuerchte, ich gleite aus 
dem suessen Gewaesser des Lobes unversehens ins bit- 
tere Meer des Tadels. Verbale Entgleisungen bitte ich a 
priori zu entschuldigen - Musik ist nun mal eine emoti- 
onsgeladene Angelegenheit. 

Mein Vorwurf lautet, dass das Lamento um CD-Bren- 
ner und Internettauschboersen lediglich ein Vorwand 
ist, um schlussendlich das Recht auf die private Kopie 
grundsaetzlich auszuhebein. "Pay-per-listen" - das ist 
Euer Wunschtraum: Jeder Abspielvorgang kostet ein 



paar Microcent und nach vier Wochen muss die Basisli- 
zenz erneuert werden. Die Kundenabspeisung funktio- 
niert vertriebskostensenkend ueber das Internet, waeh- 
rend der Preis pro Song sich nur unwesentlich vom 
anteiligen Verkaufspreis eines Longplayers unterschei- 
det. Die tauben Tekknokids koennen den Frequenz- 
gang verlustbehafteter Kompressionsverfahren sowieso 
nicht von der ohnehin eingeschraenkten Sampling- 
qualitaet einer CD unterscheiden. Die Kroenung des 
Ganzen waere dann eine Copyright Taskforce a la 
Zollfahndung, die spontan Festplatten und mobi- 
le Abspielgeraete nach Tracks ohne Wasserzeichen 
durchkaemmen darf. Soweit die Unterstellung. 

In Wirklichkeit ist die Krise der Musikindustrie haus- 
gemacht und hat mit Hobbybrennern und Netztau- 
schern wenig zu tun. Um es kurz zu machen: Ihr pro- 
duziert seit Jahren zuviel Schrott mit immer kuerzerer 
Halbwertzeit zu steigenden Kosten. Massengeschmack 
statt Innovation, Hochglanz statt Inhalt, Banalitaet 
statt Werte. Die Abspielgehilfen aus Funk und Fern- 
sehen haben ihre Programme stromlinienfoermig an 
Eure Vorgaben angepasst und werden mit Interview- 
reisen, Freiexemplaren und Backstage-Paessen bei Lau- 
ne gehalten. Eine inflationaere Schar von Musikma- 
gazinen rezensiert noch den letzten Schund, weil die 
betreffende Company Anzeigen oder gar das Cover 
bezahlt hat. 

Gleichzeitig werden von Euren mundfertigen, aber von 
Fachkenntnissen gaenzlich unbelasteten Wichtigtuern 
Unsummen bei Produktion und Promotion versenkt. 
Da werden Tagespauschalen an Tonstudios gezahlt, 
die laengst nicht mehr marktueblich sind. Es werden 
suendhaft teure Videos gedreht, die keine Station zei- 
gen will. Mit der Giesskanne werden Promopaeckchen 
uebers Land verspritzt; begleitet von kryptisch-feuil- 
letonistischen Bandinfos, die offensichtlich von Schu- 
elerzeitungsredakteuren morgens nach dem Abi-Ball 
verfasst wurden. Auf grosskotzig gebuchten Tour- 
neen spielen enttaeuschte Kuenstler vor leeren Hal- 
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len, verdienen sich gierige Catering-Unternehmen eine 
goldene Nase, rollen Nightliner zu Mondpreisen und 
tummeln sich zahllose Mitesser mit glaenzenden VIP- 
Kaertchen am Halsband. 

Meist laesst sich Gott sei Dank der komplette Kosten- 
block vom Einkommen der Kuenstler abziehen. Was 
aber, wenn man den Hungerleidern nichts mehr abzie- 
hen kann, weil der ganze Zirkus floppt? Nur drei Pro- 
zent aller Acts verdienen fast hundert Prozent des Fir- 
mengewinns, wie wir wissen. Ist das ein Marktgesetz 
oder ein Ausdruck von Unfaehigkeit? 

Nun also liegt Eure Antwort auf den ganzen Schlamas- 
sel auf meinem Tisch und ich gebe zu, ich bin nicht 
amuesiert. Meine zentrale Musikstation ist mein Com- 
puter. Wozu einen separaten CD-Spieler kaufen, wenn 
der Rechner das Laufwerk gleich mitbringt ? Statt nach 
dem genuesslichen Auspacken das volle Klangerlebnis 
ueber meine hart ersparten Edelboxen zu hoeren, wer- 
de ich dazu genoetigt, einer unerwuenschten Softwa- 
re Zugriffsrechte auf meinem Computer einzuraeumen. 
Was dann ertoent, sind herunterkomprimierte Audio- 
tracks in mp3-Qualitaet. Die originalen Wavefiles sind 
unzugaenglich. Der lausig programmierte Software- 
Player schluckt selbst im Ruhezustand fuenfmal mehr 
CPU-Leistung als der genuegsame Windows-Standard- 
player. Apple-Computer, bekanntermassen die Lieb- 
lingsgeraete von Musikern auf der ganzen Welt, wer- 
den erst gar nicht unterstuetzt. 

Werde ich dafuer in Zukunft 17 Euro ausgeben? Nein. 
Ich fuehle mich bestraft von einer Branche, die ihre 
Hausaufgaben nicht gemacht hat. Die reformun- 
willig und reaktionaer und deshalb in ihrer jetzigen 
Form rechtmaessig zum Untergang verurteilt ist. Lie- 
be Musikfreunde in den Verwaltungsetagen der Plat- 
tenkonzerne: Falls Ihr es noch nicht bemerkt habt - das 
Zeitalter der Dampfmaschine ist angebrochen. Segel- 
schiffe und Pferdefuhrwerke werden bald nur noch 
von Nostalgikern benutzt. Sogar das gemeine Volk 
kann sich eine Fahrt mit der Eisenbahn leisten. Will 
heissen: Segelflicker und Kutscher werden nicht mehr 
gebraucht. 

Haette es mp3-Files und CD-Brenner nicht gegeben, 
haette ich meine achtjaehrige Musikkonsum-Absti- 
nenz nicht beendet. Weil formatierte Radioprogram- 
me laengst nicht mehr als Informationsquelle fuer 
neue Musik dienen, haben Audiofiles und Kopien 
von Freunden meine Ohren wieder fuer zeitgenoes- 
sische Popmusik geoeffnet. In den letzten vier Jahren 
habe ich so viele Original-CDs angeschafft wie im gan- 
zen vorhergehenden Lebensabschnitt zusammen. Das 
war harte Arbeit. Meine Faustregel lautet: Eine Schei- 
be muss mindestens 12 Tracks haben, von denen die 
Haelfte mehr als zweimal gehoert werden kann. Wenn 
man dieser Regel folgt, kann man nur eine von zehn 
CDs kaufen. 

Wenn ich eine CD kaufe, stimme ich ab: Ich will mei- 
ne Favoriten in den Charts sehen, damit andere auf sie 



aufmerksam werden. Aus dem gleichen Grund moech- 
te ich Freunden unkompliziert eine Kopie brennen 
oder meiner Stammkneipe eine Compilation basteln 
duerfen. Wenn sich dann nur ein Zuhoerer das Origi- 
nal oder ein Konzertticket kauft, hat sich die Muehe 
gelohnt. Auf die Art und Weise habe ich schon mehr 
Leute angefixt als jede Streifenbandanzeige im Stadt- 
magazin. Ich bin ein Ein-Mann-Streetteam im Auftrag 
des guten Geschmacks. Naja. 

Was soll ich in Zukunft tun? Einen CD-Brenner und 
ein Crackprogramm beschaffen, das den Kopierschutz 
ignoriert? Dateien grundsaetzlich aus dem Netz zie- 
hen? Den Minidisc-Recorder an den Kopfhoereraus- 
gang im Plattenladen anschliessen? Neue Scheiben 
nicht mehr kaufen, alte dafuer kopieren? Das Radio- 
programm auf Festplatte mitschneiden lassen und hin- 
terher sortieren? Was auch immer ich davon waehle, 
Plattenfirmen und Kuenstler werden mich als zahlen- 
den Kunden verlieren. 

Eine Armee schiesst in die falsche Richtung, weil der 
Generalstab keinen Schlachtplan hat - hit by friendly 
fire. So wird aus Kollateralschaeden ein Totalschaden. 
Die gewerbsmaessigen Piraten in Russland oder Asi- 
en, die es immer gegeben hat, werdet Ihr damit nicht 
beeindrucken. Aber Ihr werdet dafuer sorgen, dass 
Musik auf Schulhoefen und in Kinderzimmern noch 
weniger zum Thema wird als ohnehin. 

Eure Umsatzeinbrueche sind Zeitzeichen. Waehrend es 
Euch noch vor kurzem praechtig ging, spuert Ihr nun 
die Wirkung von Rezession und Verunsicherung. Zusa- 
etzlich konkurrieren Unterhaltungsformen wie Com- 
puterspiele und Spass- / Extremsportarten mit dem 
Musikhoeren. Funktelefone, Tattoos und Marken- 
klamotten kosten Geld. Bildung und Kultur verlot- 
tern pisamaessig, die Aufmerksamkeitsspanne der Kids 
hat sich dramatisch verkuerzt. Drei Jahre Gitarre ler- 
nen? No way. Die Musikindustrie hat es vorgemacht: 
Sampling und Recycling funktionieren praechtig, wozu 
fuer eigene Ideen schwitzen? Wer als Erwachsener die 
Charts beobachtet, fuehlt sich an seine Kindheit erin- 
nert. Coverversions von Elvis, den Bee Gees und Joan 
Jett loesen einander ab; alte Helden wie Groenemey- 
er retten die EMI vorm Bankrott, Stones und U2 spie- 
len Rekordsummen ein, ein zipfelbaertiger Peter Gab- 
riel spielt altersmilde laechelnd Jungspunde an die 
Boxenwand. Der Gipfel der Altstoffverwertung ist das 
aktuelle Cover vom Lagerfeuerheuler "House Of The 
Rising Sun". 

Eine Industrie mit Zukunft? Schrumpft in Wuerde. 
Soundjunkie P.S. Ihr werdet mir nachsehen, dass ich 
meinen kleinen Aufsatz in einschlaegigen Internetfo- 
ren veroeffentliche. Auch ich bin nicht frei von Eitelkeit 
und halte oeffentliche Aufmerksamkeit fuer den ange- 
messenen Lohn meiner aufgewendeten Zeit. 
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Dig your tunnel! 

von Cryx <cryx@berlin.ccc.de> 



Dieser Artikel erhebt nicht den Anspruch IPSec vollständig zu erklären, noch gibt 
er konkrete Anleitungen wie man sein OS zu patchen hat oder wie man es genau 
konfiguriert. 




Wer sich tiefer mit der Materie auseinandersetzen will, 
sollte sich die dicken Bücher kaufen, die es inzwischen 
mehrfach gibt oder nach "ipsec howto" googeln und 
sich selber ein Setup aufsetzen. 

What, what, what, what, what, 
what, what, what? 

IPSec ist eine IP Erweiterung, die einem Verschlüsse- 
lung, Authentifizierung, Integrität und Transparenz bie- 
tet. Es gibt einem also die Möglichkeit, auf Netzwer- 
kebene IP-Verbindungen zu Verschlüsseln und/oder zu 
signieren und das völlig transparent für jegliche Appli- 
kationen und IP Protokolle. t 

Die beiden dazu verwendeten IPSec Protokoll sind AH 
und ESP. Beide IPSec Protokoll können in zwei ver- 
schiedenen Arten angewandt werden, die letztlich nur 
vom Einsatz Zweck abhängen. 

Transport Mode (zB. Host-to-Host) 

Dieser Mode ist dazu gedacht, in Situationen einge- 
setzt zu werden, bei denen ein Tunnel nur zwischen 
zwei kryptographischen Endpunkten bestehen soll. In 
diesem Mode wird der IPSec Header zwischen IP Hea- 
der und TCP bzw. UDP Header platziert. 



I IP Iteafer I [F5k Htüb I TCP tt-ifcv I D-iti I 



nicht kryptographischen Endpunkte im inneren. 
I |P *** I IKfe] iMfr I F He*]r l TO IM» l "in l 



Tunnel Mode (Host-to-Net oder Net-to-Net) 

Dieser Mode kann in der gleichen Situation einge- 
setzt werden, wie der Transport Mode, gibt einem 
aber noch die weitere Möglichkeit, durch zwei kryp- 
tographische Endpunkte, zwei nicht kryptographische 
Endpunkte zu verbinden, die klassische Implementa- 
tion eines VPN. Dazu wird das ursprüngliche IP Paket 
von einem IPSec Header umschlossen und ein weiter 
IP Header voran gestellt. Die kryptographischen End- 
punkte werden im äusseren IP Header referenziert, die 



ESP (Encapsulating Security Payload) 

ESP ist ein Protokoll Header, der in ein IP Paket einge- 
fügt wird und Authentifizierung, Integrität, Verschlüs- 
selung und antireplay protection (die sequence number 
ist teil der checksum) bietet. Bsp. für Transport-Mode: 

IIP HUP- I FSP Hm,W l iV~*-r*fl iu™ I 
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AH (Authentication Header) 

AH bietet alles, was ESP kann, bis auf die Verschlüsse- 
lung. Was das Prozessing wesentlich schneller macht 
und es dadurch als die geeignete Wahl für Verbin- 
dungen darstellt die zwar keinerlei "geheime" Daten 
enthalten, bei denen aber Schutz vor Manipulation 
gewährleistet sein muß (zB. DNS anfragen). 

Bsp. für Transport-Mode: 



UP Hudrr I AH Hwifer I lVulwloJ Eitu I 
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Integrität 

IPSec ermöglicht es einem, sicher zu gehen, daß die 
Daten beim Versenden zwischen zwei Punkten nicht 
von Dritten manipuliert wurden. Man-In-The-Midd- 
le Attacken kann man so recht gut ein Schnippchen 
schlagen. 

Authentifizierung 

IP Pakete können signiert werden, so daß der Andere 
wirklich sicher gehen kann, wer der Absender ist. Die 
initiale Authentifizierung lässt sich auch als Zugangs- 
Regelung für bestimmte Netzbereiche missbrauchen. 



Der Key! 

Die Verschlüsselung oder Authentifizierung wird durch 
einen Schlüssel sichergestellt, der beiden kryptographi- 
schen Endpunkten bekannt ist. Er kann auf mehrere 
Arten ausgetauscht werden kann. Entweder per stati- 
schem pre-shared-key für die Encryption, oder per sta- 
tischem pre-shared-key für die Authentifizierung, mit 
oder ohne IKE oder auch durch die Verwendung von 
x509 Zertifikaten oder RSA Schlüsseln. Man kann auch 
seine Schlüssel im DNS hinterlegen, wenn man dies 
seinem z.B. bind zutraut ;). 

Weiterführende Features 

Als weiterführende Features sind noch Compression 
und Random-padding zu erwähnen. Ersteres ist nicht 
weiter erklärenswert, trotzdem leider nicht Flächen- 
deckend und Plattform unabhängig verbreitet. Dieses 
gilt für letzteres allerdings auch, ist aber ein weit inter- 
essanteres Feature. Random-padding sorgt dafür, daß 
an jedes per ESP verschlüsselte Paket, ein Stück Daten 
mit einer zufälligen Länge angehängt und verschlüsselt 
wird, um so einem externen Beobachter das Erraten 
des Inhalts auf Grund von statistisch ermittelten Paket- 
längen zu erschweren. So gesehen bei dsniff und ssh, 
wo man die Kommandos, die durch eine ssh Verbin- 
dung gingen, aufgrund der Paketlänge erraten kann. 

Warum will man es benutzen? 

Sicherheit, Integrität, Authentifizierung, Verbreitung. 
Sicherheit 

IPSec gibt einem die Möglichkeit sicher zu gehen, daß 
niemand den Traffic zwischen zwei Punkten im Klar- 
text mitlesen kann. Im Standard ist nur der Cipher DES 
festgelegt, was niemanden daran hindert, IPSec mit 
allen anderen Ciphern zu erweitern. So kann man AES 
oder auch blowfish benutzen und sich selbst ein gutes 
Gefühl im Bauch verschaffen wenn mal wieder ein 
Kryptograph einen Cipher auseinander nimmt. 



Verbreitung 

IPSec gibt es inzwischen auf fast allen Plattformen, 
sowohl auf freien Unices als auch unter bunt-OSsen 
wie Windows und MacOSX. Sogar auf mobilen End- 
geräten sind inzwischen IPSec-lmplementation vor- 
handen. 

Unterscheiden tun sich die Implementationen eigent- 
lich nur in ihrer Fähigkeit, verschiedene Cipher zum 
Verschlüsseln der Daten zu benutzen und die Initiale 
Authentifizierung zu erledigen. Unter Windows2000/ 
XP gibt es z.B. in der Standard-Implementation nur 
DES bzw. 3DES während es unter MacOSX ab Versi- 
on 10.2. neuere Cipher wie AES, den Nachfolgercipher 
von DES, oder auch blowfish gibt. Für Microsoft Win- 
dows gibt es inzwischen zusätzlich zum eingebauten 
Stack noch etliche kommerzielle Zusatzprodukte, die 
mehr Features bieten. 

Auch die üblichen großen Firmen haben inzwischen in 
viele ihrer blackbox Hardware einen IPSec-Stack imple- 
mentiert, so daß man schon sagen kann, daß IPSec als 
Standard weit verbreitet ist auch wenn man dort auf 
Grund von mangelndem Einblick nicht sicher von ein- 
gebauten Hintertüren ist. 

Konfiguration 

Die Konfiguration unterscheidet sich natürlich meist 
erheblich, weswegen sie nicht Bestandteil dieses Arti- 
kels sein soll. Es gibt für die entsprechenden Betriebs- 
systeme viele Howtos und Anleitungen oder ent- 
sprechenden Support vom Hersteller. Eigentlich sollte 
inzwischen eine Welle von "IPSec Konfiguration Schu- 
lungen " auf uns einbrechen, bisher scheint sich das 
allerdings in Grenzen zu halten. Dabei tut das vielleicht 
wirklich mal Not, denn die Konfiguration ist kaum ein- 
heitlich zu nennen. 

Während bei NetBSD, FreeBSD und MacOSX die Kon- 
figuration des IKE daemon, racoon, gleich aussieht, ist 
die Konfiguration des isakmpd unter OpenBSD oder 
des pluto unter Linux total anders. Unter Windows 
artet die Konfiguration in wildes rumgeklicke im Sys- 
tem-Manager aus, was dazu führt das alle Anleitung 
zur Konfiguration entweder aus tausenden Screens- 
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hots oder unverständlichen Klick-Anweisungen beste- 
hen. Generell kann man sagen, daß die einfache Konfi- 
guration von IPSec für die User da draußen noch nicht 
vorhanden ist, allerdings gibt es auch in diese Richtung 
schon Ansätze. 

Einsatzorte 

IPSec wird momentan gerne als zusätzlicher Boos- 
ter für das Buzzword VPN benutzt. Das ist zwar nicht 
falsch, IPSec ist natürlich auch dafür gedacht, ein VPN 
aufzubauen, allerdings lässt sich IPSEC noch auf ande- 
re Art und Weise einsetzen. 

*buzz* VPN *buzz* 

Als klassischer Einsatzort, lassen sich VPNs mittels 
IPSec relativ einfach aufbauen. Dazu betreibt man 
IPSec einfach im Tunnel-mode, das bedeutet, daß ein 
Paket vom internen Netz einfach vollständig, inkl. 
IP Header encrypted und mit einem neuen IP Hea- 
der versehen wird. IHeaderlData.. I IPSEC processing 
I IHeaderl[HeaderlData..]l Auf der anderen Seite des 
VPN wird das Paket entschlüsselt und unverschlüsselt 
weiter an den Zielhost versendet. 

IPSec und Wavelan 

Da Wavelan von hause aus keine guten Sicherheitsop- 
tionen hat, WEP ist tot und mac-ad's sind Unsinn, aber 
viele Unternehmen oder private Anwender die Frei- 
heit, die Wireless-LAN einem bietet, nicht mehr missen 
möchten, ist IPSec eine gute Möglichkeit, das Wave- 
lan weiter zu betreiben und trotzdem den Zugang ins 
interne Netz nur authorisierten Personen zu gewähren. 

Auch hier kommt wieder der Tunnel-mode zu Ein- 
satz, nur daß diesmal der Client selber ein Endpunkt 
der Verbindung ist. Der andere Endpunkt ist die Fire- 
wall die mit einem Interface im Wireless-LAN steht. 
Auf diesem Interface ist nur ESP erlaubt, der Rest kann 
beruhigt geblockt werden. 

Auf dem Wireless Client wird einfach jeder Traffic der 
aus dem Wireless Interface raus geht, durch den IPSec- 
tunnel zum IPSec-Gateway geschickt, welches die- 
sen Traffic dann in die entsprechende Richtung wei- 
terroutet. 

Die Identität des Wavelan Users ist so immer gesichert, 
was einem auch ermöglicht auf dem Gateway einem 
User z.B. keinen Zugriff auf den internen Unterneh- 
mens Webserver zu ermöglichen ihn aber trotzdem 
den Unternehmens Kühlschrank per Webinterface neu 
zu bestücken. 

Auch nach dem Verlassen des Unternehmen kann ein 
Mitarbeiter so relativ einfach der Zugriff aufs Firmen- 
netz entzogen werden, indem sein Key gelöscht oder 
sein Zertifikat revoked wird. 



Remote access 

Ein Remote Access über IPSec erlaubt es z.B. einem 
herumreisenden Mitarbeiter, per IPSec Zugriff aufs 
interne Netz seiner Firma zu bekommen, um beispiels- 
weise auf den Fileserver zuzugreifen. 

Die Implementation ist ähnlich der vom Wavelan-Sze- 
nario und auch die Möglichkeit gleichen sich. 

Auch hier kommt der Tunnel-mode zum Einsatz, die 
Endpunkte sind in diesem Fall die Unternehmensfire- 
wall, oder ein Extra-Gateway, und der Rechner des 
Mitarbeiters. Da man in diesem Fall allerdings nicht die 
IP-Addresse des Client im vornherein bestimmen bzw. 
wissen kann, wird hier die Authentifizierung nicht mit 
Hilfe der Source-IP-Addresse sondern einzig und allein 
per Zertifikat gemacht. Das heisst: ein Zertifikat ist 
nicht an eine bestimmt Source-IP-Adresse gebunden 
sondern die Authentifizierung kann von jeder beliebi- 
gen IP-Addresse erfolgen. 

Stolperfalle sind hier meistens die Firewall in anderen 
Netzen, die versuchen, IPSec Paket mit NAT zu ver- 
sehen und dabei die beinhaltete Checksum ungültig 
machen. 

tunnel(tunneKtunnel)) 

Eine unkonventionelle Methode IPSec einzusetzen, ist 
das Tunneln von IPv4 oder IPv6 Netzen zu Standor- 
ten, die nur über dynamisch vergebene IP-Adressen 
Zugang zum Internet haben, zB. TDSL. Über ein Zer- 
tifikat, welches nicht an eine bestimmte IP-Addresse 
gebunden ist wird ein IPSec-tunnel zu einem Tunnel- 
Server aufgebaut, der durch diesen Tunnel entweder 
IPv4 direkt oder IPv6 durch einen GRE oder SIT tunnel 
getunnelt wird. 

My name is... 

Eine sicherlich sehr sinnvolle Anwendung von IPSec 
ist die Authentifizierung von DNS requests, bzw. derer 
die darauf antworten. Hier sind mehrere Arbeitswei- 
sen denkbar. Einmal ein Transport-Mode Setup wel- 
ches z.B. dem Secondary-Nameserver sichergehen läßt, 
daß es seine Zone-File Updates vom richtigen Master- 
Nameserver bekommt. Oder ein Tunnel-Mode-Setup, 
das vielen Clients hinter einem IPSec-Router ermög- 
licht, auch wirklich den beim Provider befindlichen 
Nameserver zu befragen und nicht etwa den inoffiziel- 
len Backup Nameserver von Mr.X. 

hnlich lassen sich SMTP Server oder HTTP Pro- 
xys untereinander verbinden, wobei man dabei noch 
Encryption hinzuschalten möchte. 

Streaming 

Man könnte IPSec-Tunnel auch dazu nutzen, das Stre- 
amen von rechtlich eher nicht unkritischen Audio oder 
Video Daten, zu verschleiern. Zumindest der Beweis, 
woher die Daten ursprünglich kamen, könnte so 
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schwerer zu erbringen sein. Hierbei könnten Schein- 
tunnel und Random-padding behilflich sein. Dabei soll- 
te man natürlich sichergehen, daß die Keys zur Ver- 
schlüsselung der Daten nicht später einsehbar sind. 

mounten 

Auch zum Sichern von Filesharing Protokollen wie NFS 
oder SMB läßt sich IPSec nutzen, eine transport-mode 
Verbindung zwischen Client und Server kann hier vor 
im Klartext herumfliegenden Daten schützen. In die- 
sem Fall muß man sich allerdings im Klaren sein, das 
die Performance hier nicht überragend sein wird. 

Performance 

Die Hardwareanforderungen von IPSec werden natür- 
lich vom Einsatzort und dem verwendeten Cipher 
bestimmt. 3DES ist natürlich langsamer als zB. AES 
oder blowfish. 

Ein dynip-IPv6 tunnel z.B. der eh nur über eine 
144kbit/s Leitung durchgeht, braucht nicht viel 
Rechenleistung auf der Tunnel-Server Seite. Auch ein 
bis zwei Wavelan-Clients die über IPSec mit AES oder 
blowfish ins interne Netz kommen, brauchen nicht viel 
Hardware, da reicht auch schon mal ein Pentium 200. 

Wer allerdings 1000 Außenstellen mit VPN anbinden 
will und z.B. nur3DES benutzen möchte, sollte sich 
entweder nach Hardwarelösungen von den üblichen 
Verdächtigen wie Cisco, Nokia etc. umsehen, oder 
einen schnellen Server mit Hardware-acceleration ein- 
setzen der auch entsprechende Netzwerklast gleichzei- 
tig verträgt. Auch eine übersichtliche Möglichkeit zur 
Konfiguration tut der Sicherheit keinen Abbruch. 

Grenzen der Sicherheit 

Die Verschlüsselung mit IPSec ist natürlich nur so stark 
wie der gewählte Cipher, allerdings kann man über das 
System IPSec schon behaupten, daß es recht ordentlich 
durchdacht wurde. Von Fehlern oder Backdoors in der 
Implementation einmal abgesehen. Auch hilft IPSec 
nicht gegen schlecht abgesicherte Tunnelendpunkte. 
Ein System ist eben nur so sicher wie sein schwächs- 
tes Glied. 

Auch bei IPSec sollte man sich immer fragen, ob die 
Daten die darüber geschickt werden sollen, nicht doch 
zu vertraulich sind, um überhaupt in digitaler Form zu 
bestehen. 



IP Pakete mit NAT zu befingern, was der checksum gar 
nicht gut bekommt) und dynip einfach verschwinden. 

Auf jeden Fall kann uns IPSec jetzt schon in Zeiten von 
TKÜV und ähnlicher Dinge helfen, die schon gesehe- 
nen Einschränkungen zu umgehen. 

Vielleicht können wir ja bald mit unseren mobilen End- 
geräten über IPv6 und IPSec den Füllstand unseres hei- 
mischen Kühlschränke überprüfen ohne, daß die ISPs 
dazwischen die Daten an die nächste Supermarkt Ket- 
te verkaufen. 

Bis dahin: hoffen wir, daß niemand das Filtern von ESP 
beschliesst. 

URLs 

• IPseclEEE802.11 howto [http://wiki.ash.de/cgi- 
bin/wiki.pl?IPSeclEEE802.11] [1] 

• Electrolux IPv6 enabled Fridge [http:// 
www.electrolux.com/screenfridge/] [2] 

• NetBSD IPSec FAQ [http://www.netbsd.org/ 
Documentation/network/ipsec/] [3] 

• OpenBSD using IPSec [http://www.openbsd.org/ 
faq/f aq13.html] [4] 

• Linux FreeS/WAN [http://www.freeswan.org/] 
[5] 

• Seminarfacharbeit: Sicherere latenzarme 
Kommunikationswege mit IPsec von Thomas 
Walpuski [http://bender.thinknerd.de/-thomas/ 
IPsec/] [6] 

• google?ipsec howto [http://www.google.com/] 
[7] 

ISAKMPD using X509 certificates [8] 

[1] http://wiki.ash.de/cgi-bin/wiki.pl7IPSeclEEE802.11 

[2] http://www.eiectrolux.com/screenfridge/ 

[3] http://www.netbsd.org/Documentation/network/ipsec/ 

[4] http://www.openbsd.org/faq/faq13.htmi 

[5] http://www.freeswan.org/ 

[6] http://bender.thinknerd.de/~thomas/IPsec/ 

[7] http://www.googie.com/ 

[8] http://mirror.huxley.org.ar/ipsec/isakmpd.htm 



Schlusswort 

Zum Schuss bleibt noch anzumerken, daß hoffentlich 
mit IPv6 die Einsatzweite von IPSec zunehmenen wird, 
allein schon deswegen, weil viele auf IPv6 aufbauen- 
de Protokolle (zB. BGP-4) vollständig Authentifizierung 
auf IPSec auslagern. Auch werden lästige Probleme wie 
NAT (einige IP-Stacks versuchen mit IPSec versehene 



dip ddtFnschLpudPi' 



#80 / viertes quartal 2002 



DAS HIER OBEN LIEST SOWIESO KEINER.. 



Virtual Private Networks (VPN) 

von DocX <docx@duesseldorf.ccc.de> 



Was ist ein VPN? 

Ein VPN ist eine Netzwerkverbindung, die durch ein 
anderes Netzwerk geroutet wird. Diese Verbindung 
wird auch Tunnel genannt. Warum das? Es geht dar- 
um, daß ein Rechner, der weit weg von uns ist und der 
nur über ein fremdes Netz (d.h. das Internet) mit uns 
verbunden ist, in unser eigenes Netz integriert werden 
soll. Dies zu tun hat vier Gründe: 



• Der Client hat eine IP-Adresse innerhalb des 
lokalen Netzes 

• Der Client ist "virtuell" innerhalb unserer Firewall 
angesiedelt 

• Der Aufbau der VPN-Verbindung kann 
authentifiziert werden 

• Die Daten, die über den Tunnel laufen, können 
verschlüsselt wer 

Welches Protokoll benutze ich? 

Es gibt verschiedene Protokolle, um VPNs zu realisie- 
ren: 

• Secure Shell Tunnel - Die vermeintlich einfachste 
Lösung ist der Aufbau eines Secure Shell Tunnel 
mit SSH. Sie hat jedoch Ihre Nachteile bei 
verbindungslosen Protokollen. 

• VPN mit PPTP - Benutzt ein Protokoll, das vor 
allem von Microsoft benutzt wurde und sich zum 
Verbindungsaufbau z.B. mit Win98-Rechnern 
eignet, hat aber einen Sicherheitsmangel. 

• VPN mit IPSec - Wahrscheinlich die beste Lösung, 
außerdem Teil des IPV6-Standards und damit das 
Protokoll der Zukunft, leider auch kompliziert zu 
installieren (benötigt einen Kernelpatch). 

Sicherheit 

Sicherheitsfanatiker sollten sich statt für PPTP eher 
für IPSec entscheiden. Probleme mit PPTP können 
aber soweit ich gelesen habe, nur auftreten, wenn ein 
Hacker die ersten beiden Pakete der Kommunikation 
abfangen kann. (Es gibt da z.B. einen Fall an einer Uni, 
an der ein Funknetz betrieben wurde.) 



Die Verschlüsselung bei PPTP wird nicht von PPTP 
erledigt, sondern von PPP, das letztlich die Verbin- 
dung erzeugt. Also kann man die für PPP möglichen 
Verschlüsselungsalgorithmen benutzen. (Diese sind 
allerdings aufgrund von Exportbeschränkungen und 
Lizenzproblemen im Standard-pppd eingewschränkt. 
Man sollte eine gepatchte Version benutzen.) 

Das eigentliche Sicherheits-Problem dürfte jedoch 
weniger die Authentifizierung des Clients sein als viel- 
mehr die Tatsache, daß ich einen Client in mein Netz 
lasse, den ich unter Umständen nicht so unter Kon- 
trolle habe wie meine eigenen Rechner. Wenn sich z.B. 
ein Außendienstler ins VPN einloggt, um seine inter- 
ne Mail abzuholen und auf dem Intranet-Webserver 
zu sehen, was es neues gibt, habe ich plötzlich einen 
Rechner im Netz, auf dem gestern abend noch lustig 
ohne Firewall im Internet gesurft wurde, auf dem alle 
möglichen aus dem Netz geholten Spiele ausprobiert 
wurden und auf dem weissgottwieviele Viren und Tro- 
janer sitzen könnten. Also ist bei der Firewall darauf zu 
achten, daß die VPN-Verbindungen immer als unsiche- 
re Hosts gelten und bei Diensten, die der Außendienst 
braucht (z.B. Mailserver) alle Vorkehrungen gegen 
Mißbrauch getroffen werden. 

VPN mit SSH 

Zum Aufbau eines Virtual Private Network kann auch 
SSH benutzt werden. Diese Lösung ist einfach und 
schnell und man benötigt lediglich zwei Linux-Maschi- 
nen, auf denen SSH installiert ist. 

Vorteil 

Ein Vorteil ist wohl der leichte und schnelle Aufbau der 
Netzwerkverbindung. 

Nachteil 

Dieser Tunnel hat jedoch einen entscheidenden Nach- 
teil: Er setzt auf dem bestehenden SSH-Protokoll auf, 
das auf einer TCP-Verbindung basiert. Das bedeutet, 
daß TCP-typisch (und im Gegensatz z.B. zum UDP- 
Protokoll) sowohl der vollständige Erhalt als auch die 
Reihenfolge der Pakete bei der Übertragung garan- 
tiert wird. Falls also mal ein einzelnes Paket in den Wir- 
ren des Internet verloren geht, steht das gesamte VPN 
so lange, bis die beiden SSH-Programme sich wieder 
synchronisiert haben. Wenn wir ein verbindungslo- 
ses Protokoll (wie GRE beim VPN mit PPTP oder ESP 
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bei VPN mit IPSec) benutzen, bewirkt ein verschwun- 
denes Datenpaket nur, daß genau dieses eine Daten- 
paket weg ist. Das darüberliegende Protokoll, das das 
VPN benutzt, kann sich dann wie üblich überlegen, ob 
es das Paket neu haben will (z.B. bei TCP) oder ver- 
wirft (z.B. bei Streamingdaten). Andere Datenpake- 
te und Verbindungen über das VPN werden so lange 
jedoch nicht gebremst. Ein weiterer Nachteil ist, daß 
man auf Plattformen angewiesen ist, die ssh unterstüt- 
zen, d.h. ein Aufbau mit einer Windows-Gegenstati- 
on könnte problematisch werden. Ggf. würde ich es 
jedoch mal mit dem freien Windows-SSH-Programm 
Putty [1] versuchen. 

VPN mit PPTP 

PPTP ist ein Protokoll für ein Virtual Private Network, 
das unter anderem schon lange von Microsoft benutzt 
wird. Daher ist es relativ einfach, VPN-Verbindungen 
z.B. zu älteren Win98-Rechnern aufzunehmen. 



die Gleiche Nummer bekommt. Dies ist aus Sicher- 
heitsgründen immer zu empfehlen. Außerdem kann 
man so auch feste Nemeserver-Einträge für die Clients 
machen. Es ist übrigens möglich, daß die verschiede- 
nen PPP-Interfaces, die im Server erzeugt werden, alle 
die gleiche IP-Nummer haben. Man braucht also nicht 
für jede Verbindung zwei IP-Adressen. 

Also könnte man in einem gedachten Netzwerk fol- 
genden Plan machen: 



• 192.168.1.x - normales, internes Netz 

• 192.168.2.x - interne DMZ (demilitarisierte Zone) 

• 192.168.3.1 - PPP-Interface des Servers 

• 192.168.3.2 - VPN-Clienttest1 

• 192.168.3.3 - VPN-Clienttest2 

• 192.168.3.4-254 - ggf. Nummernpool für Clients 
ohne feste Nummer 



Was biauchen wir? 

Es gibt verschiedene Protokolle, um VPNs zu realisie- 
ren. Hiervon habe ich PPTP ausgewählt. Dieses Proto- 
koll soll nicht das allersicherste sein, dürfte aber für den 
normalen Gebrauch genügen. Es hat dabei den Vorteil, 
daß ein PPTP-Client serienmäßig bei Windows dabei 
ist, sodaß auch ein plattformübergreifendes VPN-Netz 
denkbar ist. 

Unter Debian gibt es zwei Pakete zu dem 
Thema: 

• pptp-linux - Dieses Paket enthält ein Client- 
Programm, das die ppp-Verbindung über den 
Tunnel aufbaut. 

• pptpd - Dies ist ein Daemon, der als Server auf 
eingehende Verbindungen wartet. 



Vorab-Überlegungen 

Vorab sollte man sich überlegen, wie das gesamte ent- 
stehende Netz nachher aussehen soll. Im Prinzip ist der 
VPN-Server ein Router, der Verbindungen zu Sub-Net- 
zen herstellt. Dabei ist es durchaus möglich, mehrere 
verschiedene Clients gleichzeitig zu haben. Im Grunde 
genommen ist das vergleichbar mit einem Dialin-Ser- 
ver, der ganz viele Eingangsleitungen mit Modems hat. 
Da alle Clients normalerweise sicherheitstechnisch der 
gleichen Klasse zuzuordnen sind, sollte man sie in ein 
eigenes Subnetz packen. Dieses kann man dann z.B. in 
einer Firewall oder bei anderen Zugriffsbeschränkun- 
gen benutzen. Wenn sich ein Client per ppp anmeldet, 
bekommt er normalerweise eine Nummer aus einem 
Nummernpool zugewiesen. Man kann jedoch über die 
Authentifizierung in der Datei /etc/ppp/chap-secets 
auch dafür sorgen, daß ein bestimmter Benutzer immer 



Dann stellt sich die Frage, auf welchem Rechner im 
Netz man den VPN-Server installiert. Steht hierzu kein 
eigener, dedizierter Server zur Verfügung, so sollte 
dringend davon abgeraten werden, "irgendwo" auf 
einem anderen Server oder einem Client diese zusätz- 
lichen Netzwerkverbindungen zu erstellen. Dadurch 
wird nur das Routing und damit auch das Sicherheits- 
konzept unübersichtlicher. Am besten sind die VPN- 
Interfaces da untergebracht, wo auch ansonsten das 
Routing erledigt wird, also z.B. am Router zwischen 
internem Netz und DMZ bzw. Internet. Die Firewall- 
Einstellungen sollten dann im Prinzip denen der DMZ 
entsprechen. Man sollte die VPN-Clients auch nicht 
direkt mit einem Server in der DMZ verbinden. Dann 
läuft man Gefahr, daß bei einer "Übernahme" der 
DMZ der gesamte Verkehr mit den VPN-Clients in die 
falschen Hände gerät. 

Server- Konfiguration 

Nach Installation des Paketes muss zuerst die Konfigu- 
rationsdatei von pptpd erweitert werden, hier habe ich 
folgendes eingetragen: 

• localip 192.168.3.1 

• remoteip 192.168.3.2-254 

Die angegebenen Remote-IPs werden nur verwendet, 
wenn in der Datei pap-secrets keine Adresse angege- 
ben ist. 

Die eigentliche Verbindung mit Authentifizierung etc. 
ist eine normale PPP-Verbindung. Deshalb gelten hier- 
für die normalen ppp-Optionen. Diese stehen global in 
der Datei / etc/ppp/options und speziell für die pptpd- 
Verbindung in /etc/ppp/pptpd-options (diese zweite 
Datei wird pppd auf der Kommandozeile übergeben.) 

?1 
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. Auf jeden Fall kann man keine sicherheitsrelevanten 
Einstellungen, die in /etc/ppp/options stehen, nach- 
träglich entschärfen. Wenn man also testweise erstmal 
ohne Authentifizierung arbeiten will, muss man den 
Eintrag "auth" in dieser Datei auskommentieren, (nicht 
vergessen, das sp?ter wieder einzuschalten!) 

Nun zur Datei /etc/ppp/pptpd-options, in der die 
eigentlichen ppp-Optionen stehen. Für einen ers- 
ten Test kann man diese auf folgenden Stand bringen. 
Achtung! Hier ist jede Authentifizierung und/oder Ver- 
schlüsselung abgeschaltet. 

debug name pptpgate ms-dns 192.168.1.1 # ggf. 
anpassen auf eigenen Nameserver netmask 255.255.255.0 
nodefaultroute 

Dann kann man den PPTP-Server neu starten mit: 
/etc/init.d/pptpd restart 

Jetzt müsste man eine Testverbindung aufbauen kön- 
nen. Wenn man das geschafft hat, kann man sich dar- 
an machen, die Sache sicherer zu machen. Hierzu sollte 
die Datei /etc/ppp/pptpd-options so aussehen: 

testl ppptpgate passwortl 192.168.3.2 test2 ppptpgate 
passwort2 192.168.3.3 

Jetzt nochmal den ppptp neu gestartet und ab jetzt 
kann keiner mehr ohne Passwort eine Verbindung auf- 
bauen. Die Clients bekommen automatisch die ange- 
gebene IP- Nummer, sodaß man sie sogar in seinen 
Nameserver aufnehmen kann. Außerdem lassen Sie 
sich so auch von Diensten im Netz über diese Nummer 
identifizieren und auseinanderhalten. 

Client-Konfiguration 

Wenn man das Paket installiert hat, hat man eigentlich 
schon alles geschafft. Man muss ebenfalls /etc/ppp/ 
options ändern, wenn man vom Server keine Authen- 
tifizierung verlangen will. Wie gesagt sollte man später 
überlegen, das wieder zurückzunehmen! 

Jetzt startet man mit 

pptp server-name.domain.bla 

die Verbindung. Fertig! Auf beiden Seiten ist ein pppx- 
Device dazugekommen und der Tunnel steht. 

Leider geht das mit dem Debian-pptp-Paket nicht ganz 
so einfach. Hier wird offensichtlich ein Dateiname bei 
den Pseudo-TTYs verdreht. 

Man kann weitere pppd-Parameter in der Kommando- 
zeile angeben. Insbesondere kann man diese Parame- 
ter auch in einer peers-Datei speichern. Sind die Ein- 
stellungen in /etc/ppp/peers/vpn2home, so kann man 
den Aufruf so machen: 

pptp server-name.domain.bla call vpn2home 

In dieser Datei kann man dann z.B. mit name den 
Login-Namen angeben. Man kann auch ein ip-up- 
Skript angeben, das ggf. den Nameserver, Routing zum 
internen Netz, etc. richtig einstellt. Der Nameserver 
wird brigens nicht automatisch eingestellt, auch wenn 




man usepeerdns angibt, da ja bereits ein Nameserver 
im System eingetragen ist (ohne den würde man den 
Zielhost ja gar nicht finden). Also entweder die wichti- 
gen Sachen nach /etc/hosts oder ein Startskript, das / 
etc/resolv.conf anpasst. 

Interessant könnte auch sein, bei der Haupt-Internet- 
Verbindung des Clients ein ip-up-Skript einzurichten, 
das dann immer sofort und automatisch ein VPN auf- 
baut. Wen sowas interessiert, kann mich gerne fragen: 
Bei mir läufts. :-) 

Die häufigsten Probleme, von denen berichtet wird, 
sind nun übrigens Routing-Probleme. Dies hängt vor 
allem damit zusammen, daß man jetzt im Prinzip zwei 
Routen zum Zielsystem hat. Eine direkte und eine 
durch den Tunnel. Man sollte sich also bei Schwierig- 
keiten genau überlegen, welches Paket wann wohin 
läuft. Dies wird insbesondere interessant, wenn ich 
nicht die direkte Gegenstelle der VPN-Verbindung 
anspreche, sondern hinter dem Tunnel durch den 
PPTP-Server noch weitergeroutet werden muss. 

Windows-Client-Konfiguration 

Zuerstmal muss das Device für VPN installiert werden. 
Dazu geht man so vor: 

• Start / Systemsteuerung 

• Software anwählen 

• Registerkarte "Windows Setup" 

• Komponente "Verbindungen" auswählen 

• komponente "Virtuelles Privates Netzwerk" 
anwählen (Häkchen machen) 

• Jetzt zweimal auf OK klicken 

Jetzt ist die benötigte Software installiert. Als nächs- 
tes muss eine Verbindung eingerichtet werden. Hierzu 
geht man folgendermassen vor: 

• Start / Programme / Zubehör / Kommunikation / 
DFÜ-Netzwerk 

• "Neue Verbindung einrichten" anklicken 

• Als Namen gibt man eine Bezeichnung an, unter 
der man die Verbindung nachher auswählen kann 

• Als Gerät muss "Microsoft VPN Adapter" 
ausgewählt werden 

• Als Hostnamen gibt man den Namen oder die 
IP-Adresse des Servers an, zu dem man Kontakt 
aufnehmen will 

Nach der Grundeinrichtung hat man einen Eintrag im 
Ordner der DFÜ-Verbindungen. Zu den restlichen Ein- 
stellungen klickt man jetzt auf diesen mit der rech- 
ten Maustaste und geht im erscheinenden Kontextme- 
nü auf "Einstellungen". Auf der zweiten Registerkarte 
muss man jetzt noch ein paar Kästchen beglücken: 

• Netzwerkverbindung herstellen sollte 
ausgeschaltet sein. Windows versucht sonst, 
über das VPN mit einem NT-Domänencontroller 
Verbindung aufzunehmen, der normalerweise 
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nicht da ist, wenn die Gegenstation ein 
Linux-Rechner ist (und Samba nicht speziell 
dafür konfiguriert ist). Das dauert beim 
Verbindungsaufbau eine ganze Zeit. 

• Passwort-Verschlüsselung sollte eingeschaltet 
werden. Das kann nie schaden. 

• Datenkomprimierung kann eingeschaltet werden, 
ist bei mir offensichtlich aber nie benutzt worden. 
Da scheinen sich Linux und Windows nicht auf ein 
Kompressionsverfahren einigen zu können. 

• Die Verschlüsselung funktioniert nicht so einfach 
(siehe unten), also ausschalten. 

• Die Protokolle können bis auf TCP/IP abgeschaltet 
werden 

Auf die Seite mit den TCP/IP-Einstellungen kann man 
auch mal klicken. Normalerweise ist dort nichts zu 
ändern. Eventuell ist die Frage interessant, ob das VPN 
zur Default-Route werden soll. Falls auf dem Client 
während der Verbindung z.B. gesurft wird, wird das 
alles über den VPN-Server geroutet. 

In der Dokumentation zum pppt-Server stand, daß 
man, um Passworte und Verschlüsselung mit Win- 
dows-Clients zu benutzen, den pppd patchen muss. 
Passworte (auch verschlüsselt) klappen bei mir jedoch. 
Vielleicht habe ich ja eine neuere pppd-Version. Ver- 
schlüsselung konnte ich allerdings nicht einschalten. 
Dazu muss man dann ggf. eine entsprechend gepatch- 
te pppd-Version herstellen. 

Dynamische IP beim Server 

Bleibt noch die Frage, was ich beim Client als Host- 
namen des Servers angebe, wenn ich mich z.B. übers 
Internet in das heimische Netzwerk einwählen will, der 
heimische Rechner aber über eine preiswerte Flatra- 
te am Netz hängt und daher keine feste IP-Adresse 
geschweige denn einen Domain-Namen hat. 

Die primitivste Lösung ist, bei jedem Verbindungs- 
aufbau automatisch eine Webseite mit der Mitteilung 
"Jetzt habe ich die IP-Adresse a.b. cd" auf einen beste- 
henden Webserver hochzuladen. Dieser Webserver 
kann von einem Provider für Webspace wie z.B. tripod, 
freenet, etc. sein und hat dann eine offizielle, mit DNS 
zugängliche Adresse. Der potentielle Client nimmt also 
seinen Webbrowser, öffnet die Seite people.freenet.de/ 
-benutzer, sieht dort die Adresse und trägt sie z.B. in 
seinen Browser ein, um auf den eigentlichen Server zu 
kommen. 

Eine etwas schönere Lösung ist, direkt eine HTML- 
Umleitungs-Seite anzulegen. Dann hat man sich einen 
lästigen Schritt gespart. Nachteil des Verfahrens: Es 
funktioniert nur für HTML-Seiten. Andere Dienste las- 
sen sich so nicht umlenken. 

Und jetzt kommen wir zur schönsten Lösung: Was 
wäre, wenn es spezielle DNS-Server gäbe, die man bei 
jedem Verbindungsaufbau permanent umstellen könn- 
te? Normalerweise steht dem das TTL (Time To Live)- 



Feld im DNS-Eintrag entgegen, der besagt, daß der 
Eintrag für z.B. eine Woche gültig ist. Dadurch wird 
der Eintrag von allen anderen Nameservern im Inter- 
net gecached. Wenn man später auf diesen Domainna- 
men zugreift, bekommt man also die alte Adresse. Nun 
könnte man theoretisch das TTL-Feld auf z.B. 5 Minu- 
ten stellen. Würden das alle machen, würde das ganze 
DNS-System ewig langsam werden, weil nichts mehr 
gecached wird, aber für ein paar dynamische IPs soll- 
te das gehen. 

Jetzt die gute Nachricht: Es gibt Leute, die solche 
Nameserver [2], [3] anbieten. Man kann eine Unterdo- 
main der Hauptdomain des Anbieters für sich reservie- 
ren und ein kleines Programm, das beim Verbindungs- 
aufbau gestartet wird, sorgt dafür, daß die IP-Adresse 
richtig eingetragen wird. 

VPN mit IPSec 

IPSec ist ein Protokoll zum Aufbau eines Virtual Priva- 
te Network. Es dürfte im Moment die beste Wahl sein, 
wenn man ein VPN neu aufbaut, da es Teil des kom- 
menden IPV6-Standards sein wird. 

Free S/W AN 

IDie am besten gepflegte Linux-Implementation von 
IPSec ist Free S/WAN. Dieses wird auch z.B. von Suse 
Linux benutzt und es gibt entsprechende Debian-Pake- 
te. Aufgrund der Exportbeschränkungen der USA für 
Verschlüsselungstechnologien ist Free S/WAN nicht im 
Linux-Kernel und im normalen Debian-Baum integriert, 
sondern erfordert die Einbindung des non-us-Debian- 
Zweiges sowie eine Kernel-Kompilierung. 

Installation 

Zur Zeit sind die dazu benötigten Debian-Pakete nur in 
der unstable-Distribution zu finden. Ich habe folgende 
Files einfach mit wget heruntergeladen und dann mit 
dpkg -i ... installiert: 

• http://ftp.de.debian.org/debian-non-US/pool/ 
non-US/main/f/freeswan/freeswan_1 .96-1 .2_ 
i386.deb 

• http://ftp.de.debian.org/debian-non-US/pool/ 
non-US/main/f/freeswan/kernel-patch-freeswan_ 
1.96-1.2_all.deb 

Danach muss der Kernel neu gebaut werden. Wenn 
der mit Free S/WAN läuft, erkennt man das an ent- 
sprechenden Meldungen beim hochfahren. 

Außerdem muss in der Datei /etc/network/options 
die Option "spoofprotect" auf "no" gesetzt werden. 
Sonst beschwert sich ipsec beim hochfahren, dass sei- 
ne KLIPS- Komponente nicht mit Devices arbeitet, die 
"route filtering" eingeschaltet haben. (Da spoof pro- 
tect an sich kein schlechter Gedanke ist, sollte man die- 
ser Frage später nochmal nachgehen.) 
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Konfiguration 

Zuerstmal sollte hier gesagt werden, dass die Doku- 
mentation auf der Webseite sehr ausführlich und 
umfangreich ist und eigentlich alles erklärt, wenn man 
nur weiss wo. Gerade weil sie so umfangreich ist, habe 
ich aber doch lange gebraucht, bis meine Konfigurati- 
on so stand, wie sie sollte. 

Damit es nicht langweilig wird, habe ich hier einen 
Fall als Beispiel genommen, den es laut der offiziellen 
Dokumentation garnicht gibt. :-) 

• Eine Verbindung zwischen zwei Rechnern mit 
fester IP-Adresse ist relativ schnell eingerichtet, 
wenn man das Grundprinzip verstanden hat. 
Wichtig im Vergleich zu anderen VPN-Systemen 
ist die Tatsache, daß nicht eine neue virtuelle 
Verbindung erzeugt wird, die an beiden Enden 
jeweils ein neues Interface hat, sondern das neue 
Interface ipsecO hat die gleiche IP-Adresse wie das 
darunterliegende (z.B. pppO). Die Entscheidung, 
was wodurch geroutet wird, fällt in der 
Routingtabelle bzw. im Kernel-Routingcode (den 
wir ja oben gepatcht haben). 

• Eine Verbindung, bei der ein Partner eine 
dynamische IP besitzt, nennt man "Road 
Warrior" . Auch dieses Thema ist recht ausführlich 
behandelt. Dieser Fall wird in der Konfiguration 
daran erkannt, dass anstelle der IP-Adresse der 
Gegenstelle im Server "%any" steht. 

• Für uns arme T-Online-Flatrate-Kunden stellt sich 
jedoch noch eine ganz andere Frage: Was ist, 
wenn beide Partner dynamische Adressen haben? 
Wenn ich zwei Flatrate-Netze verbinden will 
oder wenn ich mit dem Laptop von unterwegs in 
meinen heimischen DSL-Rechner will? 

Dieser letzte Fall wurde nirgendwo in den Dokus 
erwähnt. Trotzdem habe ich lange herumgespielt. 
Natürlich sollten beide Rechner erstmal per dynami- 
sches DNS erreichbar sein. Innteressanterweise sind es 
gerade die Sicherheitsmerkmale der Authentifizierung, 
die zuerstmal die Definition einer einfachen Verbin- 
dung, die alle Widrigkeiten wie Verbindungsabbruch 
durch den Provider übersteht, unmöglich machen. 
Eine Authentifizierung, die sich auf eine vorhandene 
Verbindung bezieht, aber auf einmal von einer ande- 
ren IP-Adresse kommt, wird geflissentlich ignoriert. : 
-( Dann habe ich es doch geschafft: Man konfiguriert 
einfach zwei spiegelbildliche Road-Warrior- Verbin- 
dungen. Interessanterweise gibt es kein Problem, weil 
ja nun zwei Tunnel die gleichen Adressbereiche routen 
wollen. Es funktioniert! 

Schlüssel erzeugen 

Grundsätzlich gibt es verschiedene Verfahren der Ver- 
schlüsselung, die benutzt werden können. Die Verwen- 
dung eines gemeinsamen Schlüssels ist nicht zu emp- 
fehlen, da dieser immer gleich bleibt und dadurch ein 
Angreifer, der ihn irgendwie erbeutet, den gesamten 
Datenverkehr der Zukunft und auch der Vergangenheit 



(wenn er ihn protokolliert hat) entschlüsseln kann. Bes- 
ser ist da das autokeying-Verfahren. Hier wird der Part- 
ner mit einem RSA-Schlüssel (RSA arbeitet mit einem 
öffentlichen und einem privaten Schlüssel) authenti- 
fiziert. Der eigentliche Schlüssel für den Datenstrom 
wird jedoch regelmässig automatisch ausgetauscht. 
Als dritte Variante gibt es als Patch noch die Verwen- 
dung von X.509-Zertifikaten, die die Bildung einer 
Trust-Organisation erlauben (letztlich werden auch 
RSA-Schlüssel benutzt). Da dies für meine Anwendung 
mit Kanonen auf Spatzen geschossen schien, habe ich 
mich für RSA-Authentifizierung entschieden. 

Bei der Installation des Debian-Paketes fragt das 
Installationsskript, ob ich X.509- oder RSA-Schlüs- 
sel erzeugen möchte. Hier wähle ich RSA-Schlüssel. 
Damit ist schon der erste Schritt getan. Der Schlüs- 
sel meines Rechners wird nun in der Datei /etc/ 
ipsec.secrets erzeugt. Mit dem Befehl ipsec showhost- 
key — left >hostkey.txt (oder right) extrahiere ich ihn 
in eine Datei. Dabei sollte man auf einem Rechner 
der Verbindung left und auf dem anderen right ange- 
ben. Dadurch wird eine Zeile erzeugt, die direkt in die 
ipsec. conf eingefügt wird. 

Konfigurationsdatei /etc/ipsec.conf 

Diese Datei enthält alle Angaben, um IPSec zu konfi- 
gurieren. Sie ist in Sektionen eingeteilt. Die erste Sekti- 
on config setup enthält globale Einstellungen. Sie sieht 
bei mir so aus: 

config Setup 

# THIS SETTING MUST BE CORRECT or almost nothing 
will work; 

# %defauitroute is okay for most simple cases. 
interfaces=96defaultroute 

# Debug-iogging controls: "none" for (almost) none, 
"oll" for lots. 

klipsdebug=none 
plutodebug=none 

# Use auto= Parameters in conn descriptions to control 
startup actions. 

plutoload=%search plutostart=96search 

U Close down old connection when new one using same ID 

shows up. 

uniqueids=yes 

Diese Einstellungen sollten eigentlich für alle normalen 
Anwendungen reichen. Falls der Tunnel nicht auf dem 
Interface liegen soll, das das Default-Gateway (zum 
Internet) ist, kann die Zeile interfaces="ipsecO=ethO" 
oder ähnlich verändert werden. 

Jede Verbindung hat nun eine eigene Connect-Sektion. 
Enthält diese einen Eintrag auto=add oder auto=start, 
so wird diese Verbindung beim hochfahren automa- 
tisch für den Empfang konfiguriert bzw. sogar auf- 
gebaut. Durch das Schlüsselwort also=sektionsname 
kann eine andere Sektion "eingebunden" werden. 
Dies nutze ich in meinem Beispiel aus. In der Datei ist 
immer von "left" und "right" die Rede. Damit bezieht 
man sich auf die beiden Enden der Verbindung. Ob 
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der Rechner left oder right ist, stellt freeswan selber 
anhand der Daten fest. 

"linker" Rechner 

conn horas # Parameter, wenn der Router die 
Verbindung initiiert also=stargate left=%defaultroute 
right =hal9000. dyndns.org keyingtries=0 auto=start 

conn ares # Parameter, wenn Pommes die Verbindung ini- 
tiiert also=stargate left=%defaultroute right=%any 
keyingtries=l auto=add 

conn stargate # Parameter, die fuer beide 
Verbindungen auf beiden Rechnern gleich sind: 
lef tsubnet-192 . 168 . 1 . 0/24 lef tid-@f i rewali . datenst rom . 
loc # RSA 1024 bits fi rewali Mon Dec 16 14:20:37 2002 

lef trsasigkey-0sA rightsubnet-192 . 168 . 2 . 0/24 

rightid=@router.datenstrom.loc # RSA 1024 bits router 
Mon dec 16 14:41:02 2002 rightrsasigkey=0sA 

Nun die Unterschiede für den "rechten" Rechner: 

conn horas left=%any right=%defaultroute keyingtries=l 
auto=add 

conn ares left=oscar. evilroot.org right=%defaultroute 
keyingtries=0 auto=start 

Damit findet jeder der beiden Rechner jeweils den 
anderen und baut eine Verbindung auf. Die angege- 
bene ID wird dabei als "Username" benutzt und der 
Schlüssel, den wir oben erzeugt haben, als Passwort. 
Wenn Start durch add ersetzt wird, baut sich die Ver- 
bindung nicht immer automatisch auf. Dann kann z.B. 
mit ipsec auto --up horas die Verbindung hochgefah- 
ren werden. Fertig! 

Falls der Tunnel automatisch hochgefahren werden 
soll, sollte man dann allerdings noch folgendes nach / 
etc/ppp/ip-up.d/ipsec schreiben: 

#!/bin/bash /etc/init.d/ipsec Start 



Besonderheiten 

Zu sagen ist noch, daß nur das Routing zwischen den 
beiden lokalen Netzen verschlüsselt wird. Pakete, die 
von einem der beiden Gateway-Rechner kommen, 
werden nicht geroutet, da sie als Absendeadresse Ihre 
dynamische IP benutzen (und nicht Ihre IP im lokalen 
Netz). Zugriff auf das Gateway vom jeweils anderen 
Netz ist jedoch möglich, da dafür dann das Interface 
im lokalen Netz benutzt werden kann, ansonsten muss 
man die IP-Adresse des öffentlichen Interfaces neh- 
men (also den Namen für dynamisches DNS). Wie das 
z.B. mit einem Laptop geht, der kein lokales Netz hat, 
bleibt noch zu erforschen... 

Links: 

[1 ] http://www.chiark.greenend.org.uk/~5gtatham/putty/ 

[2] http://www.dyndns.org 

[3] http://www.dynip.com 

[4] http://www.freeswan.org 

[5] http://www.openssh.com/de 

[6] http://www.poptop.org/ 

[7] http://www.linux.org/docs/ldp/howto/VPN-HOWJO/ 

[8] http://www.debian.org 

[9] http://www.freenet.de 
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DER QUARTALS -RANI 



Schutzgeld-Erpressung in der 
IT-Branche 

von Fefe <felix@ccc.fefe.de> 



Was ist der Unterschied zwischen der IT-Branche und der Mafia? - Die Mafia zahlt mehr 
Steuern. 



Auf diesen Schluß könnte man kommen, wenn man 
sich anschaut, mit was für unseriösen Methoden in 
der IT-Branche gearbeitet wird, insbesondere in der 
IT-Security. Es ist geradezu erschreckend, mit welcher 
Bauernfängerei die Unternehmen teilweise vorgehen. 
Nehmen wir nur mal die halbseitigen Anzeigen in der 
aktuellen c't.Alle sind glücklich, außer dem Hacker, 
denn der kommt nicht mehr rein. Alles, was man tun 
muß, ist diese kleine schwarze Kiste ins Rack stellen. 
Oder die Pusher-Kolonnen der Virenscanner-Hersteller. 
Wie sie auf Messen ihre Anfix-Proben unter die vorbei- 
treibende Schafherde werfen! Oder die Personal Fire- 
walls... aber gegenüber der organisierten Kriminalität 
der Schutzgeld-Nummer der BIND Company nimmt 
sich das geradezu wie kleinkriminelle Bagatellen aus. 

Die BIND Company hat eine Mailingliste für VIP-Kun- 
den eingerichtet. Der Kunde zahlt, darf auf die Mai- 
lingliste, und kriegt dann vor den anderen Mitteilung 
von neuen Sicherheitslücken in BIND. 

Das muß man sich mal auf der Zunge zergehen lassen! 
Man soll dem Hersteller eines Quasi-Monopol-Produk- 
tes auch noch Geld dafür geben, daß er einen über sei- 
ne ständigen Sicherheitslücken in Kenntnis setzt! So 
geht nicht mal Microsoft mit seinen Kunden um! Aber 
bei der BIND Company sind noch einige andere Sachen 
im Argen. U.a. versuchen die BINDIer gerade, eine- 
AXFR Clarification in der IETF zu publizieren. Sie sagen, 
das sei eine Erläuterung der aktuellen AXFR Implemen- 
tation. Wer sich das Dokument anschaut, wird fest- 
stellen, dass es sich im Gegenteil um eine Protokollre- 
vision handelt, die u.a. alle möglichen Details plötzlich 
mit MUST und SHOULD zu zementieren versucht, die 
so genau nur von BIND gemacht werden, nicht aber 
von djbdns oder anderen DNS Servern. Der Gipfel der 
Impertinenz ist, dass das Dokument sogar Sachen vor- 
schreibt, die nicht einmal BIND 8 so implementiert -- 
und das ist der am häufigsten eingesetzte DNS-Server 
im Internet! Details gibt es hier [1] 



Das wäre alles nicht so schlimm, wenn die IETF ein 
demokratischer Prozeß wäre. Oder zumindest ein offe- 
ner. Daß ICANN eine korrupte nichtsnutzige Vereini- 
gung von bürokratischen Status-Quo Beibehaltern ist, 
ist ja hinlänglich bekannt. Aber die IETF ist nicht besser. 

Tatsächlich entscheiden da ein paar verkrustete Seil- 
schaften nach Gusto, wer was publizieren darf und wer 
nicht. Die meisten abgelehnten RFCs verschwinden 
ungesehen in der Versenkung, aber Herr Bernstein läßt 
sich von solchen Machenschaften nicht einschüchtern 
-- dieser Eigenschaft haben wir es übrigens zu verdan- 
ken, daß er kürzlich in einer Prozeßserie die Krypto- 
Exportbeschränkungen der US-Regierung weitgehend 
zertrümmert hat. Er hat vor Jahren ebenfalls versucht, 
RFCs zu publizieren, und ist weitgehend ignoriert wor- 
den. Dann hat man ihn über Jahre hingehalten und am 
Ende hat er dann aufgegeben, hnlich ergeht es ihm mit 
djbdns und seinem Leidensweg mit der IETF und den 
Mailinglisten dort. Glücklicherweise hat er seinen Lei- 
densweg dokumentiert [2] 

Ich weiß nicht, wie es euch so geht, aber mir treiben 
solche Machenschaften die Zornesröte ins Gesicht. Es 
wird offenbar Zeit für eine neue Internet-Verwaltung. 
Wer macht mit? [3] 

[1] http://cr.yp.to/djbdns/axfr-clarify.html 
[2] http://cr.yp.to/djbdns/namedroppers.html 
[3] mailto:felix@ccc.fefe.de 
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